- Son 7 gün
- CWE-79
CVE-2026-109209
All-in-One Video Gallery eklentisinde XML-RPC üzerinden kalıcı siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenize kayıtlı herhangi bir kullanıcının zararlı içerik yerleştirmesine ve bu içeriğin ziyaretçilerinize zarar vermesine olanak tanıyabilir. Sitenizde video eklentisi kullanılıyorsa ve üyelik açıksa risk orta düzeydedir. Eklentiyi güncellemek veya geçici olarak devre dışı bırakmak önerilir.
ÖzetTürkçe
All-in-One Video Gallery WordPress eklentisinin 4.9.7 sürümüne kadar olan tüm sürümlerinde, 'custom_fields[embedcode]' parametresi girdi temizleme ve çıktı kaçışlaması eksikliği nedeniyle kalıcı siteler arası betik çalıştırma (XSS) açığı içermektedir. Abonelik (Subscriber) düzeyinde ve üzeri yetkiye sahip kullanıcılar, save_meta_data işleyicisinin XML-RPC isteklerinde erken çıkış yapmasından yararlanarak temizlemeyi atlayabilir. Eklenti ayrıca abonelere video yayımlama yetkisi verdiği için bu, tek bir wp.newPost XML-RPC çağrısıyla istismar edilebilir.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betiği içeren sayfayı ziyaret eden kullanıcıların tarayıcısında çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya kullanıcı adına istenmeyen işlemler yapılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
The All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'custom_fields[embedcode]' parameter in all versions up to, and including, 4.9.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The sanitization bypass is possible because the save_meta_data() handler returns early when $_POST['post_type'] is absent — a condition always true during XML-RPC requests — and the plugin unconditionally grants Subscribers the publish_aiovg_videos capability, making this exploitable by any authenticated user via a single wp.newPost XML-RPC call.
Ne yapmalı?
- Eklentinin 4.9.7 sürümünden daha yeni, açığı kapatan bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi veri kaynağında belirtilmemiştir; geliştiricinin yayımladığı en güncel sürümü kullanın. Genel öneri
- Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya video yayımlama yetkisini gerektiren kullanıcı kayıtlarını kısıtlamayı değerlendirin. Genel öneri
- Abonelerin XML-RPC üzerinden içerik oluşturmasını engellemek için XML-RPC erişimini kapatın veya kısıtlayın. Genel öneri
- Mevcut video ve sayfa içeriklerini, özellikle embedcode alanlarını, şüpheli script etiketleri açısından inceleyin ve temizleyin. Genel öneri
Ek önlemler
- Yeni kullanıcı kayıtlarını ve abonelerin yetkilerini düzenli olarak gözden geçirin. Genel öneri
- Yayımlanmış içeriklerde beklenmeyen script etiketlerini tarayan izleme araçları kullanın. Genel öneri
- Yetkisiz içerik değişikliklerini tespit etmek için web sunucusu ve WordPress erişim kayıtlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| plugins360 All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos | ≤ 4.9.7 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/cc6b1fa7-d5f9-4aec-860e-067c26745450 Diğer
- plugins.trac.wordpress.org/…eo-gallery/tags/4.9.7/includes/player/base.php Diğer
- plugins.trac.wordpress.org/…eo-gallery/tags/4.9.7/includes/player/base.php Diğer
- plugins.trac.wordpress.org/…-one-video-gallery/tags/4.9.7/admin/videos.php Diğer
- plugins.trac.wordpress.org/…e-video-gallery/trunk/includes/player/base.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.