- Son 7 gün
- CWE-80
CVE-2026-10511
Jupiter X Core eklentisi: kimliği doğrulanmış kullanıcılar aracılığıyla kalıcı siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenize yazı yetkisi olan bir kullanıcının ziyaretçilerinize ve yöneticilerinize zararlı içerik sunmasına olanak tanır. Yetkisi düşük bir hesap ele geçirildiğinde bile itibar kaybı, müşteri verisinin sızması ve yasal sorumluluk riski doğabilir. Eklentiyi güncellemek veya güncelleme gelene kadar riski azaltmak öncelikli bir iş adımıdır.
ÖzetTürkçe
Jupiter X Core WordPress eklentisinin 4.61.0 ve daha eski sürümlerinde, 'forget_password_link' parametresi yeterince temizlenmediği ve çıktıda kaçış karakterleri uygulanmadığı için kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Bu açığı kullanmak için saldırganın en az Contributor (katkıda bulunan) yetkisine sahip bir hesabının olması gerekir. Etkilenen siteler, bu eklentiyi kullanan WordPress kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betiği içeren sayfayı ziyaret eden kullanıcıların tarayıcısında çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya kullanıcı adına istenmeyen işlemlerin yapılmasına yol açabilir. Yönetici hesabını ele geçiren bir kullanıcı sitenin tamamı üzerinde kontrol sahibi olabilir.
Kaynaktaki açıklama (İngilizce)
The Jupiter X Core plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'forget_password_link' parameter in all versions up to, and including, 4.61.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Ne yapmalı?
- Jupiter X Core eklentisini, açığın giderildiği sürüme güncelleyin. Güvenlik bülteni, 4.61.0 ve önceki tüm sürümlerin etkilendiğini belirtmektedir; bu nedenle 4.61.0'dan yeni bir sürüme geçilmelidir. Genel öneri
- Güncelleme yapılana kadar katkıda bulunan (Contributor) ve üzeri yetkiye sahip hesapların listesini gözden geçirin, güvenilmeyen veya gereksiz hesapları devre dışı bırakın. Genel öneri
- Yeni eklenen veya düzenlenen sayfalarda 'forget_password_link' alanındaki içerikleri kontrol edin ve şüpheli betik etiketleri içeren kayıtları temizleyin. Genel öneri
Ek önlemler
- Katkıda bulunan hesaplarına yalnızca gerçekten ihtiyaç duyulduğunda yetki verin ve düzenli olarak parola politikasını uygulayın. Genel öneri
- Yönetici paneline yapılan girişleri ve sayfa içeriğindeki beklenmedik değişiklikleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| artbees Jupiter X Core | ≤ 4.61.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/7736342c-21e8-42e6-8af8-31c69ff7781e Diğer
- plugins.trac.wordpress.org/…raven/includes/modules/forms/widgets/login.php Diğer
- plugins.trac.wordpress.org/…raven/includes/modules/forms/widgets/login.php Diğer
- plugins.trac.wordpress.org/…raven/includes/modules/forms/widgets/login.php Diğer
- plugins.trac.wordpress.org/…raven/includes/modules/forms/widgets/login.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.