CVE-2026-100196
Açıklama
WordPress için geliştirilen The LazyLoad Plugin – Lazy Load Images, Videos, and Iframes eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 2.4.0 sürümü dahil tüm önceki sürümlerde 'comment_content (rendered inline into the page HTML)' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı etkilenen sayfaya eriştiğinde çalışacak rastgele web betikleri eklemesine olanak tanır. WordPress çekirdeğinin wp_kses_data izin listesi, yalnızca izin verilen etiketleri ve öznitelikleri kullandığı için hazırlanan yükü kaydetme sırasında temizlemez; olay işleyici, bozuk bir öznitelik bölgesi içinde gizlenmiştir ve yalnızca eklentinin oluşturma zamanındaki str_replace dönüşümü ile gerçek bir DOM özniteliğine dönüştürülür. Ek olarak, yükün diğer ziyaretçilere sunulmadan önce bir site yöneticisi tarafından onaylanmış olması gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wp_media LazyLoad Plugin – Lazy Load Images, Videos, and Iframes | v ≤ 2.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.