CVE-2026-15161
Açıklama
WordPress için geliştirilen Ninja Forms - Excel Export eklentisi, 3.3.6 ve önceki sürümlerde Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, save_filter() AJAX işleyicisinin herhangi bir yetenek kontrolü, nonce doğrulaması veya girdi temizleme işlemi yapmadan ham $_POST['filter'] dizisini update_option() aracılığıyla bir WordPress seçeneğine kaydetmesi ve buna ek olarak yönetici Excel Export ekranındaki get_filter_row() metodunun, saklanan filtre değerlerini (field_key, condition, value) esc_attr() kullanmadan doğrudan HTML özniteliklerine eklemesinden kaynaklanmaktadır. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, rastgele web betikleri enjekte etmelerini mümkün kılar ve bu betikler, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| SaturdayDrive Ninja Forms - Excel Export | v ≤ 3.3.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.