CVE-2026-110252
Açıklama
WordPress için geliştirilen WPeMatico RSS Feed Fetcher eklentisinin 2.9 ve önceki sürümleri, Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kampanya son düzenleyicisinin unfiltered_html yetkisine sahip olduğu durumlarda (eklentinin yönetici tarafından kaydedilen her kampanya için otomatik olarak ayarladığı bir bayrak), eklentinin RSS besleme içeriğiyle wp_insert_post() fonksiyonunu çağırmadan hemen önce WordPress'in content_save_pre filtresinden wp_filter_post_kses filtresini kaldırmasından kaynaklanmaktadır. İçe aktarılan öğe içeriği $item->get_content() üzerinden ham olarak alınmakta, yalnızca varlık çözümlenmekte (entity-decode) ve post_content içerisine aynen kaydedilmektedir. Bu durum, bir yöneticinin WPeMatico kampanyasına abone olduğu bir RSS beslemesini yayınlayan veya ele geçiren kimliği doğrulanmamış saldırganların, kullanıcılar enjekte edilmiş içe aktarma gönderilerine eriştiğinde çalışacak keyfi web betikleri enjekte etmelerine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| etruel WPeMatico RSS Feed Fetcher | v ≤ 2.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.