CVE-2026-13424
Açıklama
WordPress için Online Scheduling and Appointment Booking System – Bookly eklentisi, yetersiz girdi temizleme ve çıktı kaçışı nedeniyle 27.7 ve öncesindeki tüm sürümlerde bookly_speed_up_update_addons AJAX eylemi aracılığıyla Kalıcı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, kimlik doğrulaması yapmamış saldırganların, bir kullanıcı enjekte edilmiş bir sayfaya eriştiğinde çalışacak rastgele web betiklerini sayfalara enjekte etmesini mümkün kılar. Enjeksiyon noktası, wp_ajax_nopriv_* olarak kaydedilen ve bu nedenle kimlik doğrulaması olmadan erişilebilen bookly_speed_up_update_addons AJAX eylemidir; yük, geçerli bir imza olmadan bir istek gönderildiğinde bookly_log.details sütununda olduğu gibi saklanır ve bir yönetici daha sonra Diagnostics → Logs sayfasını görüntülediğinde çalışır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ladela Online Scheduling and Appointment Booking System – Bookly | v ≤ 27.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.