CVE-2026-19902

WordPress için geliştirilen Ad Inserter – Ad Manager & AdSense Ads eklentisi, '{search-query}' dinamik etiketi üzerindeki yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 2.8.18 dahil tüm sürümlerde Referer başlığı üzerinden Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bir reklam bloğunun kodu bu etiketi içerdiğinde, replace_ai_tags() fonksiyonu $_SERVER['HTTP_REFERER'] değerini okur ve bunu /[\.\/](google|yahoo|bing|ask)\.[a-z\.]{2,5}[\/]/i düzenli ifadesiyle test eder. Baştaki [\.\/] sınıfı gerçek bir eğik çizgi ile eşleştiğinden, yalnızca '/google.com/' gibi bir segment içeren herhangi bir yönlendirici arama motoru yönlendirmesi olarak kabul edilir; ardından eklenti, yönlendiren sorguyu parse_str() ile yüzde-kod çözücüden geçirir ve sonuçlanan 'q' (veya 'p') değerini hiçbir kaçış işlemi uygulamadan preg_replace() aracılığıyla bloğa yerleştirir. Bu durum, kimliği doğrulanmamış saldırganların, giriş yapmış bir yönetici dahil olmak üzere herhangi bir ziyaretçiyi, sıradan bir yazıya çerçeveleyen veya bağlantı veren saldırgan kontrollü bir sayfaya çekerek site bağlamında rastgele JavaScript çalıştırmasını mümkün kılar. İstismar için sitenin, otomatik ekleme özelliği etkinleştirilmiş şekilde '{search-query}' etiketini kullanan bir reklam bloğuna sahip olması gerekir; bu, eklentinin belgelenmiş ve amaçlandığı şekilde kullanılan bir özelliğidir.