- Son 7 gün
- CWE-79
CVE-2026-109198
Anti-Spam by CleanTalk eklentisinde kimlik doğrulaması gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- Wordfence
ÖzetTürkçe
WordPress için geliştirilen Anti-Spam by CleanTalk – Spam Protection Without CAPTCHA eklentisi, 6.89.1 dahil ve bu sürüme kadar olan tüm sürümlerde 'user_email' parametresi üzerinden kalıcı siteler arası betik çalıştırma (XSS) açığından etkilenmektedir. Bu durum, girdi temizleme ve çıktı kaçışlarının (output escaping) yetersiz olmasından kaynaklanmaktadır. Kimlik doğrulaması yapılmamış saldırganlar, bir kullanıcı enjekte edilen sayfaya eriştiğinde çalışacak keyfi web betikleri ekleyebilir. Sömürünün gerçekleşmesi için sitede kullanıcı kaydının açık olması gerekir. Betik çalıştırma, bir Yönetici eklentinin kullanıcı spam taramasını çalıştırıp 'Non-checkable users' veya 'Spam users' sekmesini görüntülediğinde tetiklenir; bu, eklentinin kendi belgelenmiş iş akışıdır. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Kaynaktaki açıklama (İngilizce)
The Anti-Spam by CleanTalk – Spam Protection Without CAPTCHA plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'user_email' parameter in all versions up to, and including, 6.89.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires user registration to be open on the site, and script execution is triggered when an Administrator subsequently runs the plugin's user-spam scan and views the resulting Non-checkable users or Spam users tab — the plugin's own documented workflow.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CleanTalk Anti-Spam – Complete Spam Protection | ≤ 6.89.1 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/93cf8a35-61a4-4998-ae34-86c96898e30f Diğer
- plugins.trac.wordpress.org/…antalk/ApbctWP/FindSpam/ListTable/BadUsers.php Diğer
- plugins.trac.wordpress.org/…Cleantalk/ApbctWP/FindSpam/ListTable/Users.php Diğer
- plugins.trac.wordpress.org/…ib/Cleantalk/ApbctWP/FindSpam/UsersChecker.php Diğer
- plugins.trac.wordpress.org/…s/6.89.1/inc/cleantalk-public-integrations.php Diğer
- plugins.trac.wordpress.org/changeset Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.