CVE-2026-4336

WordPress için geliştirilen Ultimate FAQ Accordion eklentisi, 2.4.7 sürümü dahil tüm sürümlerde FAQ içeriği üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, eklentinin set_display_variables() fonksiyonunda (View.FAQ.class.php, satır 746) işleme sırasında post_content üzerinde html_entity_decode() fonksiyonunu çağırmasının, HTML varlık olarak kodlanmış payload'ları tekrar yürütülebilir HTML'ye dönüştürmesi ve çözülen içeriğin wp_kses_post() veya başka bir temizleme işlemi olmadan yazdırıldığı faq-answer.php şablonundaki yetersiz çıktı kaçışlamasından kaynaklanmaktadır. ufaq özel yazı tipi 'show_in_rest' => true şeklinde kaydedilmiştir ve varsayılan olarak 'post' capability_type değerini kullanır; bu da Yazar seviyesindeki kullanıcıların REST API aracılığıyla FAQ oluşturmasına ve yayınlamasına olanak tanır. Bir Yazar, kayıt sırasında WordPress'in kses temizlemesini atlayan (çünkü kses varlıkları etiket değil düz metin olarak görür) ancak işlem sırasında html_entity_decode() tarafından tekrar yürütülebilir HTML'ye dönüştürülen varlık kodlu kötü amaçlı HTML (örneğin, <img src=x onerror=alert()>) gönderebilir. Bu durum, Yazar seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı doğrudan veya [ultimate-faqs] kısa kodu aracılığıyla enjekte edilmiş bir FAQ'ya eriştiğinde çalışacak rastgele web betikleri enjekte etmelerini mümkün kılar.