CVE-2026-15790
Açıklama
WordPress için Youtube Showcase eklentisi, 4.0.4 ve önceki sürümlerde 'emd_mb_meta' kısa kodu üzerinden Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kısa kodun görsel alanı tarafından referans verilen ek başlıklarındaki yetersiz girdi temizleme ve çıktı kaçış işlemlerinden kaynaklanmaktadır: EMD_MB_Helper::image_info() fonksiyonu eki ham post_title olarak döndürür ve EMD_MB_Helper::shortcode() fonksiyonu bunu esc_attr() kullanmadan sprintf() aracılığıyla title="%s" HTML öznitelikleri içine yerleştirir. Bu durum; yazar seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların (eki oluşturmak için upload_files, kısa kodu gömmek için edit_posts/publish_posts yetkileri gereklidir), sayfalara rastgele web betikleri enjekte etmelerini sağlar ve bu betikler bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| emarket-design Video Gallery – YouTube Gallery, Playlist & Video Grid | v ≤ 4.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.