Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-109995

Advanced Views eklentisinde kimlik doğrulaması gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS)

wplakeorg Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitenizin ziyaretçilerine zararlı kod gösterilmesine neden olabilir ve müşterilerinizin veya yöneticilerinizin güvenini zedeleyebilir. Saldırgan giriş yapmadan saldırı gerçekleştirebildiği için risk yüksektir ve eklentinin hızlıca güncellenmesi gerekir.

ÖzetTürkçe

Advanced Views – Display Framework for Gutenberg & Elementor eklentisinin 3.9.6 sürümüne kadar olan tüm sürümlerinde, 'comment' parametresi üzerinden girilen içerik yeterince temizlenmediği ve çıktıda kaçış karakterlerine dönüştürülmediği için kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırgan kimlik doğrulaması olmadan zararlı betik enjekte edebilir. Onaylanmamış ya da beklemedeki yorumlar da bu açığı tetikleyebilir, çünkü yorum sorgulama işlemi onay durumunu kontrol etmemektedir.

Saldırgan ne yapabilir?

Saldırgan, enjekte ettiği betiğin enjekte edilmiş sayfayı ziyaret eden kullanıcıların tarayıcılarında çalışmasını sağlayabilir; bu da oturum bilgilerinin çalınmasına, kullanıcı adına işlem yapılmasına veya sayfa içeriğinin değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Advanced Views – Display Framework for Gutenberg & Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 3.9.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is exploitable even against pending or unapproved comments, as the plugin's get_comment() lookup applies no approval-status filter, meaning a payload executes for any visitor loading an avf-layout block bound to the attacker's comment ID before the comment is ever reviewed.

Ne yapmalı?

  1. Advanced Views eklentisini, 3.9.6 sürümünden daha yeni ve açığı giderdiği belirtilen bir sürüme güncelleyin. Güncel sürüm bilgisi için eklentinin geliştiricisinin resmi kanallarını kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar, avf-layout bloğunu içeren sayfaları ve yorum tabanlı içerikleri gözden geçirin; şüpheli veya onaylanmamış yorumları kaldırın. Genel öneri
  3. Güncelleme sonrasında sitenizde zararlı betik içeren sayfa olup olmadığını tarayın ve bulursanız içeriği temizleyin. Genel öneri

Ek önlemler

  • Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
  • Yönetici ve editör hesaplarında güçlü parolalar ve iki adımlı doğrulama kullanın. Genel öneri
  • Tarayıcı içerik güvenlik politikası (CSP) gibi ek katmanlar uygulayarak satır içi betik çalıştırımını sınırlandırmayı değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
wplakeorg Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode ≤ 3.9.6 –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.