CVE-2026-100159
Açıklama
WordPress için Popup Box eklentisi, 6.4.1 ile 6.4.2 versiyonları arasında Keyfi Shortcode Çalıştırma zafiyetine sahiptir. Bu durum, ays_popup_get_user_ip() fonksiyonunun istemci tarafından kontrol edilen Client-IP / X-Forwarded-For / Forwarded / X-Forwarded / Forwarded-For istek başlıklarını okuması, bunları yalnızca (shortcode sözdizimi tarafından kullanılan köşeli parantez, tırnak, boşluk veya '=' karakterlerini temizlemeyen) sanitize_text_field() ile sanitize etmesi, değeri %%user_ip_address%% belirtecinin göründüğü her yere bir popup gövdesine yerleştirmesi (Ays_Pb_Data::replace_message_variables() içinde herhangi bir kaçış işlemi olmadan ham str_replace kullanımı) ve ardından sonuçlanan gövdeyi wp_footer kancasındaki çıktı sırasında Ays_Pb_Public::ays_autoembed() içindeki do_shortcode() fonksiyonuna aktarmasından kaynaklanmaktadır. Bu durum, bir yöneticinin bir popup'ın Custom Content gövdesine %%user_ip_address%% belirtecini eklediği durumlarda, kimliği doğrulanmamış saldırganların sunucu üzerinde saldırgan tarafından sağlanan özniteliklerle keyfi kayıtlı shortcode'lar çalıştırmasını mümkün kılar; bu durum, sitede yüklü olan shortcode'lar tarafından açığa çıkarılan keyfi verilerin okunması veya diğer işlemlerin gerçekleştirilmesi için kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ays-pro Popup Box – Create Countdown, Coupon, Video, Contact Form Popups | 6.4.1 ≤ v ≤ 6.4.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.