CVE-2026-3367
Açıklama
WordPress için geliştirilen Lockme OAuth2 calendars entegrasyon eklentisi, 2.11.0 sürümü dahil tüm önceki sürümlerde 'App ID' ayarı üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle meydana gelmektedir. 197. satırdaki register_setting() çağrısında bir temizleme geri çağırma fonksiyonunun bulunmaması, temizlenmemiş verilerin update_option() aracılığıyla depolanmasına izin vermektedir. Ayarlar sayfası oluşturulduğunda, depolanan değer 212. satırda esc_attr() kullanılmadan doğrudan bir HTML girişinin value özniteliğine yazdırılmaktadır. Bu durum; yönetici düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, herhangi bir kullanıcı eklenti ayarları sayfasına eriştiğinde çalışacak keyfi web betiklerini ayarlar sayfasına enjekte etmelerini mümkün kılmaktadır. Birden fazla alan etkilenmektedir: App ID (client_id), App Secret (client_secret), Bookings ID prefix (id_prefix) ve API domain (api_domain). Bu zafiyet, özellikle bireysel site yöneticilerinin diğer kullanıcıları etkileyen JavaScript kodlarını çalıştıramaması gereken WordPress multisite kurulumlarında kritik öneme sahiptir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lustmored Lockme calendars integration | v ≤ 2.11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.