Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2012-20005

SocialFit WordPress Eklentisinde popup.php msg Parametresi Üzerinden Yansıtılmış XSS Açığı

Łukasz Więcek SocialFit

Orta 6,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
7 gün
Kaydı açan
VulnCheck

ÖzetTürkçe

1.2.2 sürümüne kadar olan SocialFit WordPress eklentisi, kimlik doğrulaması yapılmamış saldırganların temizlenmemiş msg parametresi aracılığıyla betik enjekte etmesine izin veren yansıtılmış siteler arası betik çalıştırma (XSS) açığı içermektedir. Saldırganlar, service=googleplus parametresi ve kötü amaçlı msg değerleriyle /wp-content/plugins/socialfit/popup.php adresine GET istekleri hazırlayarak betik çalıştırabilir ve oturum çerezlerini çalabilir. Bu istismar girişimlerine ilk olarak 2023-10-19 tarihinde Shadowserver Foundation tarafından ait kanıtlar gözlemlendi.

Kaynaktaki açıklama (İngilizce)

SocialFit plugin for WordPress through 1.2.2 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts via the unsanitized msg parameter. Attackers can craft GET requests to /wp-content/plugins/socialfit/popup.php with service=googleplus and malicious msg values to execute script and steal session cookies. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Łukasz Więcek SocialFit ≤ 1.2.2 –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.