Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-109999

AI Marketing Expert WordPress eklentisi kalıcı DOM tabanlı XSS açığı (≤ 1.2.8)

nalam-1 AI Marketing Expert — AI Email Marketing, AI Content Generator, SEO Analyzer, AI Workflow Automation, Social Media & Ai Chatbot

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitenizin yönetici paneline giren kişilere zararlı kod ulaştırabilir ve bu da site kontrolünün ele geçirilmesine yol açabilir. Saldırının kimlik gerektirmemesi ve yüksek risk seviyesinde olması nedeniyle öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

AI Marketing Expert WordPress eklentisinin 1.2.8 dahil eski tüm sürümlerinde, 'name' parametresi üzerinden kalıcı DOM tabanlı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Girdi temizleme ve çıktı kaçışlama yetersiz olduğu için kimlik doğrulaması yapmayan saldırganlar zararlı betik yerleştirebilir. Açık, chatbot modülü etkin ve en az bir bot yapılandırılmış siteleri etkiler.

Saldırgan ne yapabilir?

Saldırgan, zararlı betiği yerleştirdikten sonra bu betik, sayfayı açan kullanıcıların tarayıcısında çalışır. Yönetici hesabıyla wp-admin paneline giren bir kullanıcının oturum bilgilerine erişilmesi ya da yönetici adına işlemler yapılması mümkün hale gelebilir.

Kaynaktaki açıklama (İngilizce)

The AI Marketing Expert — AI Email Marketing, AI Content Generator, SEO Analyzer, AI Workflow Automation, Social Media & Ai Chatbot plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'name' parameter in all versions up to, and including, 1.2.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires only that the chatbot module is active with at least one configured bot; the attacker stores the payload via three unauthenticated REST calls, and the JavaScript widget auto-poll then delivers it to any administrator who opens wp-admin/index.php.

Ne yapmalı?

  1. Eklentiyi, sağlayıcının açığı giderdiği 1.2.8 sonrası bir sürüme güncelleyin. Güncel sürüm bilgisi için eklentinin resmi kaynağını kontrol edin. Genel öneri
  2. Güncelleme yapılamıyorsa AI Marketing Expert eklentisini geçici olarak devre dışı bırakın. Genel öneri
  3. Güncelleme sonrasında yönetici panelini ve sitenin sayfalarını şüpheli betik içeriklerine karşı kontrol edin; eklentinin chatbot verilerinde olağandışı girdi olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • Yönetici hesaplarında iki faktörlü doğrulama kullanın ve yönetici oturumlarını düzenli olarak sonlandırın. Genel öneri
  • Kullanılmayan eklentileri kaldırın ve yalnızca gerekli eklentileri aktif tutun. Genel öneri
  • Tarayıcılarda içerik güvenlik politikası (CSP) gibi ek koruma katmanları uygulamayı değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
nalam-1 AI Marketing Expert — AI Email Marketing, AI Content Generator, SEO Analyzer, AI Workflow Automation, Social Media & Ai Chatbot ≤ 1.2.8 –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.