- Yama var
- Son 7 gün
- CWE-79
CVE-2025-15705
Supsystic Contact Form eklentisinde yönetici yetkisine sahip kullanıcılar için kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress eklentisi Contact Form by Supsystic, 1.8.0 sürümünden önce form adını yeterince temizlemez ve kaçış karakterlerine dönüştürmez. Bu nedenle form düzenleyicisine erişimi olan kullanıcılar, form başka bir kullanıcı tarafından görüntülendiğinde çalıştırılan rastgele web betikleri enjekte edebilir. Multisite kurulumlarında, yöneticilerin unfiltered_html yetkisine sahip olmadığı durumlarda bu durum bir yetki sınırını aşmaya yol açar.
Kaynaktaki açıklama (İngilizce)
The Contact Form by Supsystic WordPress plugin before 1.8.0 does not sanitise and escape a form name, allowing users with access to the form editor to inject arbitrary web scripts that execute when another user views the form. On multisite installations, where administrators do not hold the unfiltered_html capability, this crosses a privilege boundary.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Contact Form by Supsystic | < 1.8.0 | 1.8.0 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/7b592632-614d-4792-8372-a38e667e547b İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.