CVE-2026-3895
Açıklama
WordPress için Livemesh tarafından geliştirilen WPBakery Page Builder Addons eklentisi, eksik yetkilendirme kontrolleri ve yetersiz girdi temizleme nedeniyle 3.9.4 sürümü dahil tüm önceki sürümlerde `lvca_admin_ajax` AJAX işlemi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. AJAX işleyicisi bir nonce doğrulaması yapar ancak kullanıcı yetkilerini kontrol etmez. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların eklenti ayarlarını değiştirmesine ve yöneticiler eklenti ayarları sayfasına eriştiğinde veya herhangi bir kullanıcı ön yüze ziyaret ettiğinde çalışan kötü amaçlı betikler yerleştirmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| livemesh WPBakery Page Builder Addons by Livemesh | v ≤ 3.9.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.