CVE-2026-96752
Açıklama
WordPress için geliştirilen Zero Spam for WordPress eklentisinin 5.7.10 dahil önceki tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle Contact Form 7 entegrasyonundaki iç içe geçmiş POST dizi anahtarları üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri yerleştirmesine olanak tanır. Payload, rastgele HTML veya JavaScript içeren iç içe geçmiş bir POST dizi anahtarıyla Contact Form 7 isteği gönderilerek iletilir; PHP alan adını iç içe geçmiş bir dizi anahtarına ayrıştırır ve Zero Spam, zerospam_david_walsh_key alanının eksikliği nedeniyle gönderimi spam olarak işaretlediğinde bu veri zerospam_log.submission_data sütununa olduğu gibi kaydedilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bmarshall511 Zero Spam for WordPress | v ≤ 5.7.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.