CVE-2026-8698
Açıklama
WordPress için geliştirilen Cryptocurrency Prijsvergelijking Widget eklentisinin 1.0 versiyonu, Stored Cross-Site Scripting (Saklı Siteler Arası Betik Çalıştırma) zafiyetine sahiptir. Bu durum, as_get_coin_shortcode() fonksiyonundaki yetersiz çıktı kaçışlamasından kaynaklanmaktadır; söz konusu fonksiyon, 'width' (ve 'height') shortcode özniteliğini, esc_attr() gibi herhangi bir kaçışlama fonksiyonu uygulamadan doğrudan bir <iframe> öğesinin style özniteliğine aktarmaktadır. '100px;"onload="alert(1)" x="' gibi saldırgan tarafından kontrol edilen bir değer, style özniteliğini vaktinden önce sonlandırarak iframe etiketine rastgele bir HTML özniteliği enjekte eder. Bu durum, katkıda bulunan (contributor) ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web betikleri enjekte etmesini mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cryptoprijzen Cryptocurrency Prijsvergelijking Widget | v ≤ 1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.