CVE-2026-4335

WordPress için geliştirilen ShortPixel Image Optimizer eklentisi, 6.4.3 sürümü dahil tüm önceki sürümlerde eklerin post_title alanı üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, getEditorPopup() fonksiyonunda ve ilgili media-popup.php şablonunda yetersiz çıktı kaçışlamasından kaynaklanmaktadır. Spesifik olarak, eki ait post_title değeri AjaxController.php (satır 435) içerisinde get_post() aracılığıyla veritabanından alınmakta ve doğrudan görünüm şablonuna (satır 449) aktarılmaktadır; burada değer, esc_attr() kaçışlaması olmadan bir HTML giriş öğesinin value özniteliğine yerleştirilmektedir (media-popup.php satır 139). WordPress, Yazarların REST API üzerinden rastgele ek başlıkları (çift tırnak karakterleri dahil) belirlemesine izin verdiği için, kötü niyetli bir yazar, HTML özniteliğinden çıkıp rastgele JavaScript olay işleyicileri enjekte eden bir ek başlığı oluşturabilir. Bu durum, Yazar seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, daha yüksek yetkili bir kullanıcı (yönetici gibi) zehirli ek için ShortPixel AI düzenleyici açılır penceresini (Arka Plan Kaldırma veya Görüntü Ölçekleme) her açtığında çalışacak rastgele web betikleri enjekte etmesini mümkün kılmaktadır.