- Yama var
- Son 7 gün
- CWE-79
CVE-2026-109936
Otter Blocks eklentisinde kimlik doğrulaması gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Otter Blocks WordPress eklentisinin 3.2.8 sürümünden önceki sürümleri, blokları işlerken dinamik içerik belirteçlerini yeniden yazmak için kullandığı deseni doğru şekilde sınırlandırmıyor. Bu nedenle desen, bir HTML özniteliğini kapatan tırnak işaretini tüketebiliyor ve yanındaki kaçışlanmamış verileri işaretlemeye yeni öznitelikler olarak ekleyebiliyor. Bu durum, kimliği doğrulanmamış kullanıcıların, etkilenen bir sayfayı görüntüleyen herhangi bir ziyaretçinin, oturum açmış bir yönetici dahil, tarayıcısında çalışacak kalıcı siteler arası betik çalıştırma (XSS) saldırısı gerçekleştirmesine olanak tanıyor.
Kaynaktaki açıklama (İngilizce)
The Otter Blocks WordPress plugin before 3.2.8 does not correctly bound a pattern it uses to rewrite its dynamic-content tokens while rendering blocks, so the pattern can consume the quote that closes an HTML attribute and pull adjacent unescaped data into the markup as new attributes. This allows unauthenticated users to achieve stored Cross-Site Scripting that executes in the browser of any visitor who views an affected page, including a logged-in administrator.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Otter Blocks | < 3.2.8 | 3.2.8 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/c9f264ad-0857-4d1f-9f20-694469d7bee0 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.