CVE-2026-17089
Açıklama
WordPress için Events Manager – Calendar, Bookings, Tickets, and more! eklentisi, 7.4.0.1 sürümü dahil olmak üzere tüm sürümlerde 'header_format' parametresi aracılığıyla Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir; bunun nedeni yetersiz girdi temizleme ve çıktı kaçışıdır. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcıyı bir bağlantıya tıklama gibi bir eylem gerçekleştirmeye başarılı bir şekilde kandırabilmeleri durumunda çalışan rastgele web betiklerini sayfalara enjekte etmelerini mümkün kılar. Shortcode giriş noktası 'header_format' parametresini wp_kses() aracılığıyla temizler, ancak kimliği doğrulanmamış 'search_events_grouped' AJAX eylemi bu temizlemeyi tamamen atlar ve parametrenin output_grouped() içinde HTML gövdesine yansıtılmadan önce temizlenmemiş kalmasına neden olur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netweblogic Events Manager – Calendar, Bookings, Tickets, and more! | v ≤ 7.4.0.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.