CVE-2026-8790
Açıklama
WordPress için Football Pool eklentisi, yetersiz girdi temizleme ve çıktı kaçışı nedeniyle 2.13.4 ve öncesindeki tüm sürümlerde Shoutbox widget'ının `shouttext` POST parametresi aracılığıyla Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bir shoutbox form gönderimi nonce kontrolünde başarısız olduğunda (veya `shouttext` boş olduğunda ya da kullanıcı kaydedemediğinde), ham POST değeri HTML kaçışı yapılmadan `printf('%s', ...)` kullanılarak bir `<textarea>` öğesine geri yansıtılır. Bu, kimliği doğrulanmamış saldırganların, Shoutbox widget'ı içeren bir sayfaya hazırlanmış bir POST isteği göndermeye kandırılan kimliği doğrulanmış bir kurbanın (Abone düzeyi veya üzeri) tarayıcısında rastgele web betikleri çalıştırmasını mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| antoineh Football Pool | v ≤ 2.13.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.