CVE-2026-97019
Açıklama
WordPress için AMP for WP – Accelerated Mobile Pages eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 1.1.17 dahil önceki tüm sürümlerde 'headline-*' Shortcode Özniteliği üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri eklemesine olanak tanır. Abone düzeyindeki bir kullanıcı, biyografik bilgi alanına kötü amaçlı bir shortcode kaydedebilir; WordPress çekirdeğinin wp_filter_kses() fonksiyonu yalnızca HTML etiketlerini kaldırıp shortcode sözdizimini kaldırmadığı ve AMP içerik temizleyicileri do_shortcode() arşiv açıklamasını işlemeden önce çalıştığı için sentezlenen işaretleme hiçbir zaman sonradan temizlenmez.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mohammed_kaludi AMP for WP – Accelerated Mobile Pages | v ≤ 1.1.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.