CVE-2026-14472
Açıklama
WordPress için geliştirilen Kubio AI Page Builder eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 2.8.4 sürümü dahil tüm sürümlerde kubio/copyright Blok İçeriği üzerinden Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, katkıda bulunan seviyesinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web betikleri yerleştirmesini mümkün kılar. Varlıkla kodlanmış (entity-encoded) betik etiketleri kses tarafından etkisiz metin olarak değerlendirildiği ancak CopyrightBlock::render_template() içindeki sonraki html_entity_decode() çağrısı ile canlı HTML'e dönüştürüldüğü için bu durum hem WordPress çekirdek kses-on-save filtresini hem de eklentinin kendi wp_kses_post() çağrısını atlatmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| extendthemes Kubio AI Page Builder | v ≤ 2.8.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.