- Son 7 gün
- CWE-79
CVE-2026-109974
All-in-One Video Gallery eklentisinde 'more_link' özniteliği üzerinden kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sisteme düşük yetkiyle giriş yapabilen kişilerin sitenizi ziyaret eden diğer kullanıcılara zararlı içerik sunmasına olanak tanır. Sitenizin itibarı ve ziyaretçilerinizin güvenliği açısından orta düzeyde bir risk taşır. Eklentinin güncellenmesi veya kaldırılması, planlı bir bakım penceresinde öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
All-in-One Video Gallery (Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos) WordPress eklentisinin 4.9.7 ve önceki tüm sürümlerinde, 'more_link' parametresi girdi temizleme ve çıktı kaçışlama eksikliği nedeniyle kalıcı siteler arası betik çalıştırma (XSS) açığı içermektedir. Saldırgan, en az katılımcı (Contributor) yetkisine sahip bir hesapla oturum açabilir. Açık, bu eklentiyi kullanan WordPress sitelerini etkiler.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betiği sayfalara kaydedebilir; bu betik, enjekte edilen sayfayı açan kullanıcıların tarayıcısında çalışır. Bu sayede oturum bilgileri ele geçirilebilir veya yönetici hesaplarına karşı işlem yapılabilir.
Kaynaktaki açıklama (İngilizce)
The All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'more_link' parameter in all versions up to, and including, 4.9.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Ne yapmalı?
- Eklentinin 4.9.7 sürümünün üzerindeki, üretici tarafından düzeltilmiş bir sürüme güncelleyin. Düzeltilmiş sürüm numarası veri kaynağında belirtilmediği için eklenti sayfasından veya yayıncının resmi kanallarından en güncel sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar, katılımcı ve üzeri yetkiye sahip hesapları gözden geçirin, gereksiz yetkileri kaldırın ve güvenilmeyen kullanıcıların içerik ekleme yetkisini kısıtlayın. Genel öneri
- Eklentinin kullanılmadığı durumlarda tamamen devre dışı bırakın veya kaldırın. Genel öneri
- Güncelleme sonrasında, 'more_link' özniteliği içeren sayfa ve kısa kodları gözden geçirerek şüpheli betik içeriği olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Katılımcı ve yazar gibi yetkili kullanıcıların hesap güvenliğini güçlendirmek için çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Yeni eklenen veya düzenlenen içeriklerde beklenmedik betik etiketlerini düzenli olarak denetleyin. Genel öneri
- Yönetici paneli erişimini ve içerik düzenleme işlemlerini kayıt altına alan izleme araçlarını etkinleştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| plugins360 All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos | ≤ 4.9.7 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/97200206-e43d-403e-8aa1-4f11422385c6 Diğer
- plugins.trac.wordpress.org/…gallery/tags/4.9.7/includes/helpers/render.php Diğer
- plugins.trac.wordpress.org/…one-video-gallery/tags/4.9.7/public/videos.php Diğer
- plugins.trac.wordpress.org/…one-video-gallery/tags/4.9.7/public/videos.php Diğer
- plugins.trac.wordpress.org/…ideo-gallery/trunk/includes/helpers/render.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.