CVE-2026-3481
Açıklama
WordPress için geliştirilen WP Blockade eklentisinin 0.9.14 dahil tüm sürümleri, 'shortcode' parametresi üzerinden Yansıtılan Siteler Arası Betik Çalıştırma (Reflected XSS) zafiyetine sahiptir. Bu durum, render_shortcode_preview() fonksiyonundaki yetersiz girdi temizleme ve çıktı kaçış işlemlerinden kaynaklanmaktadır. Fonksiyon, $_GET['shortcode'] üzerinden kullanıcı girdisini alır, herhangi bir temizleme işlemi yapmadan stripslashes() işleminden geçirir ve ardından 393. satırda echo do_shortcode($shortcode) aracılığıyla doğrudan çıktı olarak verir. Girdi geçerli bir WordPress kısa kodu olmadığında (örneğin, JavaScript olay işleyicileri içeren bir HTML etiketi olduğunda), do_shortcode() bunu değiştirilmeden döndürür ve veri kaçış işlemi yapılmadan sayfaya yansıtılır. Uç nokta admin_post_ (admin_post_nopriv_ değil) aracılığıyla kaydedilmiştir; bu da kullanıcının en az Abone düzeyinde bir hesapla giriş yapmış olmasını gerektirir. Herhangi bir nonce doğrulaması veya ek yetenek kontrolü bulunmamaktadır. Bu durum, Abone düzeyi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcıyı bağlantıya tıklamak gibi bir eylemi gerçekleştirmeye ikna edebilmeleri durumunda, çalıştırılacak keyfi web betikleri enjekte etmelerini mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| burlingtonbytes WP Blockade – Visual Page Builder | v ≤ 0.9.14 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.