CVE-2026-4011
Açıklama
WordPress için geliştirilen Power Charts Lite eklentisi, 0.1.0 dahil tüm sürümlerinde [pc] kısa kodunun 'id' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, 'id' kısa kod özniteliği üzerinde yetersiz girdi temizleme ve çıktı kaçış işlemleri yapılmasından kaynaklanmaktadır. Özellikle pc_shortcode() fonksiyonunda, kullanıcı tarafından sağlanan kısa kod özniteliklerinden çıkarılan 'id' özniteliği, 62. satırda herhangi bir kaçış veya temizleme işlemi uygulanmadan doğrudan bir HTML div öğesinin class özniteliğine eklenmektedir. Ortaya çıkan HTML, döndürülmeden önce html_entity_decode() işleminden geçirilerek potansiyel güvenlik önlemleri daha da zayıflatılmaktadır. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sayfalara rastgele web betikleri yerleştirmesine olanak tanır ve bu betikler, bir kullanıcı etkilenen sayfaya her eriştiğinde çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dgwyer Power Charts – Responsive Beautiful Charts & Graphs | v ≤ 0.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.