CVE-2026-93339

Metaphor Creations Ditty (ditty-news-ticker) 3.1.70 öncesi sürümleri, Yazar seviyesi veya daha yüksek yetkilere sahip kimliği doğrulanmış kullanıcıların, düzen tasarım etiketlerinde kötü amaçlı sarmalayıcı öznitelik değerleri sağlayarak rastgele HTML öğeleri eklemesine izin veren bir saklanmış siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. ditty_layout_render_tag_wrapper() fonksiyonu, çağırıcı tarafından sağlanan sarmalayıcı öznitelik değerlerini herhangi bir izin listesi doğrulaması yapmadan doğrudan HTML öğe adları olarak eklemektedir; bu durum, KSES'in kayıt sırasında ve düzen tasarım etiketi öznitelikleri işleme anında çözümlenmeden önce çalışması nedeniyle wp_kses_post() temizleme işleminin atlanmasına yol açmakta ve yükün, etkilenen Ditty öğesini içeren yazı veya sayfaları görüntüleyen herhangi bir ziyaretçinin tarayıcısında çalışmasına neden olmaktadır.