CVE-2026-2489
Açıklama
WordPress için geliştirilen TP2WP Importer eklentisi, 1.1 sürümü dahil tüm önceki sürümlerde, ek dosya içe aktarıcı ayarları sayfasındaki 'Watched domains' metin alanı üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, alan adları AJAX aracılığıyla kaydedilirken ve esc_textarea() kullanılmadan echo implode() ile işlenirken girdi temizleme ve çıktı kaçış işlemlerinin yetersiz olmasından kaynaklanmaktadır. Bu durum, Yönetici düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı ek dosya içe aktarıcı ayarları sayfasına her eriştiğinde çalışacak rastgele web betikleri yerleştirmesini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| readymadeweb TP2WP Importer | v ≤ 1.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.