CVE-2026-95686
Açıklama
WordPress için geliştirilen Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 1.9.2.1 dahil önceki tüm sürümlerde 'targetUrl' parametresi üzerinden Depolanan DOM Tabanlı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri eklemesine olanak tanır. Veri alım uç noktası yalnızca takip edilen sayfalarda her anonim ziyaretçiye optiBehaviorHeatmapConfig.nonce aracılığıyla herkese açık olarak sunulan bir nonce ile korunmaktadır; bu da kötü amaçlı yükü yazmak için herhangi bir hesap veya kimlik doğrulamanın gerekmediği anlamına gelir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| optiuser Opti-Behavior – Self-Hosted Heatmaps, Funnels, A/B Testing & Smart Insights | v ≤ 1.9.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.