CVE-2025-13141
Açıklama
WordPress için geliştirilen HT Mega – Absolute Addons For Elementor eklentisi, kullanıcı tarafından sağlanan HTML etiket adlarının yetersiz doğrulanması nedeniyle 3.0.0 dahil tüm önceki sürümlerde, eklentinin Gutenberg blokları üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, temizleme işlemi için tag_escape() kullanılmasına rağmen, 'script', 'iframe' ve 'object' gibi tehlikeli etiketlerin eklenmesine izin veren bir etiket adı beyaz listesinin bulunmamasından kaynaklanmaktadır. Bazı bloklar içerik için esc_html() kullansa da bu durum, JavaScript kodlama teknikleri (tırnaksız dizgiler, ters tırnaklar, String.fromCharCode()) kullanılarak atlatılabilir. Bu durum, katkıda bulunan (contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sayfalara rastgele web betikleri yerleştirmesini mümkün kılar ve bu betikler, bir kullanıcı etkilenen sayfaya her eriştiğinde çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| devitemsllc HT Mega Addons for Elementor – Elementor Widgets & Template Builder | v ≤ 3.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.