CVE-2026-18402
Açıklama
WordPress için SureDash – Community, Courses & Member Dashboard eklentisi, 1.10.3 ve öncesindeki tüm sürümlerde yetersiz girdi temizleme ve çıktı kaçışlama nedeniyle 'draweropenverposition' Block/Shortcode Attribute üzerinden Stored Cross-Site Scripting (XSS) zafiyetine sahiptir. Bu durum, contributor düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş bir sayfaya eriştiğinde çalışacak rastgele web betiklerini sayfalara enjekte etmesine olanak tanır. Enjekte edilen yük, block-delimiter HTML comment'inin JSON'u içinde saklanır; wp_kses_post bunu kaydetme sırasında etkisiz hale getirmez ve yalnızca görüntüleme sırasında esc_attr() kaçışlaması olmadan oluşturulan style attribute içine enterpole edilir; bu da bir çift tırnağın attribute dışına çıkarak rastgele HTML olay işleyicileri eklemesine izin verir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| brainstormforce SureDash – Community, Courses & Member Dashboard | v ≤ 1.10.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.