- Yama var
- Son 7 gün
- CWE-79
CVE-2026-105262
Falang WordPress eklentisinde abone yetkisiyle depolanmış XSS açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Falang multilanguage for WordPress eklentisinin 1.4.6 sürümünden önceki sürümleri, terim çevirilerini kaydederken yetki kontrolü yapmaz ve korumasız bir işleyici aracılığıyla geçerli bir nonce değerini oturum açmış her kullanıcıya gösterir. Bu durum, Subscriber (Abone) düzeyi ve üzeri erişimi olan kullanıcıların, daha sonra uygun kaçış işlemi yapılmadan çıktıya verilen içerik depolamasına olanak tanır. Sonuçta, yöneticiler gibi daha yüksek ayrıcalıklı kullanıcıların bağlamında çalışan depolanmış siteler arası betik çalıştırma (XSS) açığına yol açar.
Kaynaktaki açıklama (İngilizce)
The Falang multilanguage for WordPress plugin before 1.4.6 does not perform a capability check when saving term translations, and exposes a valid nonce to any logged-in user through an unprotected handler, allowing users with Subscriber-level access and above to store content that is later output without proper escaping, leading to Stored Cross-Site Scripting that executes in the context of higher-privileged users such as administrators.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Falang multilanguage for WordPress | < 1.4.6 | 1.4.6 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/a7576e78-1fec-42fb-9c50-89b80e44fbc2 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.