CVE-2026-77186
Açıklama
WordPress için geliştirilen My Calendar – Accessible Event Manager eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 3.8.3 dahil tüm sürümlerde 'fallback' Shortcode Özniteliği üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, katkıda bulunan seviyesinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak rastgele web betikleri eklemesine olanak tanır. Atlatma işlemi, wp_kses_post fonksiyonunun kaydetme sırasında gerçek HTML etiketleri yerine düz ters eğik çizgi dizileri olarak göründükleri için temizleyemediği heksadesimal kodlanmış shortcode öznitelik yüklerine (örneğin \x3cscript\x3e) dayanmaktadır; ardından WordPress çekirdeğinin shortcode_parse_atts() fonksiyonu, işleme zamanında stripcslashes() fonksiyonunu çağırarak kaçış karakterlerini, kaçış uygulanmamış alana ulaşmadan önce gerçek büyüktür/küçüktür işaretlerine dönüştürmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joedolson My Calendar – Accessible Event Manager | v ≤ 3.8.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.