- Yama var
- Son 7 gün
- CWE-79
CVE-2012-20004
WordPress K-news eklentisinde fontpicker index.php ff parametresi üzerinden yansıtılan XSS açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
1.1.1 sürümünden önceki WordPress K-news eklentisi, kimlik doğrulaması yapmayan saldırganların 'ff' parametresi üzerinden temizlenmemiş girdi enjekte etmesine izin veren yansıtılmalı siteler arası betik çalıştırma (XSS) açığı içermektedir. Saldırganlar, /wp-content/plugins/knews/wysiwyg/fontpicker/index.php adresine kötü amaçlı 'ff' değerleri içeren GET istekleri hazırlayarak, bu değerlerin option etiketlerine yansıtılmasıyla betik çalıştırabilir ve oturum çerezlerini çalabilir. Bu sömürmeye ait kanıtlar ilk olarak 2023-10-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
K-news plugin for WordPress before 1.1.1 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject script by supplying unsanitized input through the 'ff' parameter. Attackers can craft GET requests to /wp-content/plugins/knews/wysiwyg/fontpicker/index.php with malicious 'ff' values echoed into option tags to execute script and steal session cookies. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Carles Reverter K-news | < 1.1.1 | 1.1.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- acunetix.com/…etters-ff-parameter-cross-site-scripting-1-1-0 Üçüncü taraf
- vulncheck.com/…cted-xss-via-fontpicker-index-php-ff-parameter Üçüncü taraf
- exploit-db.com/exploits/37484 İstismar kodu ya da analiz
- web.archive.org/…3/https://www.securityfocus.com/bid/54330/info Diğer
- github.com/…tp/vulnerabilities/wordpress/wp-knews-xss.yaml Diğer
- wordpress.org/plugins/knews Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.