CVE-2026-93756
Açıklama
WordPress için geliştirilen Smash Balloon Social Post Feed – Simple Social Feeds for WordPress eklentisinin 4.13.0 dahil tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle Admin Builder Preview içerisindeki v-html aracılığıyla Facebook Yorum Mesajı üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir yöneticinin besleme oluşturucu önizleme sayfasına eriştiği her an çalışacak rastgele web betikleri enjekte etmesini mümkün kılar. Bu saldırı, herhangi bir WordPress kimlik bilgisine ihtiyaç duymadan, yalnızca bağlı Facebook Sayfasına yorum yapmak için bir Facebook hesabı gerektirir; ek olarak, v-if yerine v-show kullanılması, yorum bölümü görsel olarak görüntülenmediğinde bile onerror işleyicileri dahil olmak üzere enjekte edilen HTML'in DOM içinde değerlendirilmesi anlamına gelir. cff_install_addon AJAX işleyicisindeki (admin/addon-functions.php) URL doğrulama eksikliği ile birleştirildiğinde, bir yöneticinin oturumunda çalışan enjekte edilmiş bir betik, saldırgan tarafından kontrol edilen bir URL'den rastgele eklenti kurulumunu tetikleyebilir ve bu da sunucu tarafında kod çalıştırılmasına yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smub Smash Balloon Social Post Feed – Simple Social Feeds for WordPress | v ≤ 4.13.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.