CVE-2026-4006

WordPress için geliştirilen Simple Draft List eklentisinin 2.6.2 dahil tüm sürümleri, 'display_name' post meta (Özel Alan) üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, yazar URL'si bulunmadığında yazar görüntüleme adı üzerindeki girdi temizleme ve çıktı kaçış işlemlerinin yetersiz olmasından kaynaklanmaktadır. Eklenti, `display_name` yerel bir WP_Post özelliği olmadığı için `WP_Post::__get()` fonksiyonunu tetikleyen ve `get_post_meta($post_id, 'display_name', true)` şeklinde çözümlenen `$draft_data->display_name` değerine erişir. `user_url` meta alanı boş olduğunda, `$author` değeri herhangi bir kaçış işlemi uygulanmadan satır 383'te `$author_link` değişkenine atanır (`{{author}}` etiketi için `esc_html()` kullanan satır 378 ve bir URL mevcut olduğunda `esc_html()` kullanan satır 381'in aksine). Kaçış işlemi uygulanmamış bu değer daha sonra `str_replace()` aracılığıyla kısa kod çıktısına eklenir. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, `[drafts]` kısa kodu ile `{{author+link}}` şablon etiketini içeren bir sayfaya her erişildiğinde çalışacak rastgele web betikleri enjekte etmelerini mümkün kılar.