CVE-2026-109995
Açıklama
WordPress için geliştirilen Advanced Views – Display Framework for Gutenberg & Elementor eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 3.9.6 sürümü dahil tüm önceki sürümlerde 'comment' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri yerleştirmesine olanak tanır. Eklentinin get_comment() sorgusunun herhangi bir onay durumu filtresi uygulamaması nedeniyle bu zafiyet, bekleyen veya onaylanmamış yorumlar üzerinde bile istismar edilebilir; yani bir yük (payload), yorum henüz incelenmeden önce saldırganın yorum kimliğine bağlı bir avf-layout bloğunu yükleyen her ziyaretçi için çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wplakeorg Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode | v ≤ 3.9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.