CVE-2026-12561

WordPress için tagDiv Composer eklentisi, 5.4.5 dahil olmak üzere tüm sürümlerde vc_raw_html kısa kod aracılığıyla Kalıcı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, vc_raw_html::render() metodundaki yetersiz girdi temizleme ve çıktı kaçışlaştırmasından kaynaklanmaktadır; bu metod, kısa kod içeriğini base64 ile çözer (kaydetme sırasında kodlanmış yük herhangi bir etiket içermediği için atlatılan bir strip_tags() işleminden sonra) ve sonucu doğrudan sayfa HTML'ine birleştirir. WordPress'in kaydetme zamanındaki wp_kses_post() filtresi yalnızca normal bir kısa kod köşeli parantezi içindeki etkisiz base64 metnini gördüğünden ve bunu çözmediğinden, tehlikeli etiketler post_content içinde varlığını sürdürür ve işleme zamanında kaçışlaştırılmadan yayımlanır. Bu durum, Contributor düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş bir sayfaya eriştiğinde (örneğin, bir Editör veya Yönetici bekleyen gönderiyi önizlediğinde) çalışacak rastgele web betiklerini sayfalara enjekte etmesini mümkün kılar.