CVE-2026-6427
Açıklama
WordPress için geliştirilen a3 Lazy Load eklentisi, 2.7.6 sürümü dahil tüm önceki sürümlerde Depolanmış Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, `admin/views/form-data.php` şablonundaki kaçış karakterleri uygulanmamış çıktılarla birleşen ve özel olarak hazırlanmış `<video>` öğelerini işlerken HTML öznitelik tırnaklamasını bozan `_filter_videos()` metodundaki bir regex hatasından kaynaklanmaktadır. Katkıda Bulunan (Contributor) düzeyinde erişime sahip kimliği doğrulanmış bir saldırgan, `src` özniteliği gömülü bir `class="` alt dizgesi içeren özel bir `<video>` etiketi ekleyerek eklentinin sınıf değiştirme regex'ini yanıltabilir ve bir öznitelik değeri kapatma tırnağının tüketilmesini sağlayabilir. Bu işlem, HTML5 ayrıştırıcısının tırnak sınırını kaydırarak, tırnak içindeki bir öznitelik değerinden gelen saldırgan kontrollü metni bağımsız olay işleyici özniteliklerine (`autofocus`, `onfocus`) dönüştürür. Enjekte edilen betik, gönderiyi görüntüleyen herhangi bir kullanıcının (yöneticiler dahil) tarayıcısında çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| a3rev a3 Lazy Load | v ≤ 2.7.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.