CVE-2026-3659

WordPress için geliştirilen WP Circliful eklentisinin 1.2 sürümü dahil tüm sürümleri, [circliful] kısa kodunun 'id' özniteliği ve [circliful_direct] kısa kodunun birden fazla özniteliği üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kullanıcı tarafından sağlanan kısa kod öznitelikleri üzerinde yetersiz girdi temizleme ve çıktı kaçış işlemleri yapılmasından kaynaklanmaktadır. Özellikle, circliful_shortcode() fonksiyonunda 'id' öznitelik değeri, herhangi bir kaçış işlemi uygulanmadan doğrudan bir HTML id özniteliğine eklenmekte (satır 285), bu da saldırganın çift tırnakla belirtilmiş öznitelikten çıkmasına ve rastgele HTML olay işleyicileri enjekte etmesine olanak tanımaktadır. Benzer şekilde, circliful_direct_shortcode() fonksiyonu (satır 257), tüm kısa kod özniteliklerini kaçış işlemi yapmadan doğrudan HTML data-* özniteliklerine yazdırmaktadır. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sayfalara rastgele web betikleri enjekte etmesini mümkün kılmakta ve bu betikler, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalıştırılmaktadır.