- Son 7 gün
- CWE-79
CVE-2026-110291
Graphina Elementor eklentisi: kimlik doğrulamasız kalıcı siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, web sitenize ziyaretçi veya yönetici olarak giren kişilerin tarayıcısında zararlı kodların çalışmasına olanak tanıyabilir ve bu da müşteri verilerinin veya hesapların ele geçirilmesi riskini doğurur. Saldırı için sisteme giriş yapmak gerekmediğinden risk yüksektir ve güncelleme veya geçici önlemler kısa sürede alınmalıdır.
ÖzetTürkçe
Graphina – Charts and Graphs For Elementor eklentisinin 3.1.13 sürümü ve daha eski sürümleri, Tree Chart widget ayarlarındaki metin alanlarının yeterince temizlenmemesi ve çıktıda kaçış karakterleriyle korunmamasi nedeniyle kalıcı siteler arası betik çalıştırma (XSS) açığı içermektedir. Saldırgan, oturum açmadan zararlı bir değer enjekte edebilir. Bu değer, enjekte edilen sayfayı ziyaret eden her kullanıcının tarayıcısında çalışır. Eklentiyi kullanan WordPress siteleri etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, ziyaretçilerin tarayıcısında keyfi betik çalıştırabilir; bu yolla oturum bilgilerini çalabilir veya kullanıcıları yönlendirebilir. Etkilenen sayfayı yönetici görüntülerse yönetim işlemleri de ele geçirilebilir.
Kaynaktaki açıklama (İngilizce)
The Graphina – Charts and Graphs For Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'iq_tree_chart_node_font_family (and any text control serialized into chart_data['settings'])' parameter in all versions up to, and including, 3.1.13 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Elementor's Utils::kses_post_deep() does not strip the attack payload on save because the payload contains no disallowed HTML tags — only a single quote and an event-handler fragment — allowing the malicious value to survive persistence.
Ne yapmalı?
- Eklentiyi, sağlayıcının açığı giderdiğini belirttiği 3.1.13 sonrası bir sürüme güncelleyin. Sağlayıcı kesin sürüm numarasını bu veride belirtmemektedir; sağlayıcının resmi kanalından en güncel sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar eklentinin Tree Chart widget'ını içeren sayfaları gözden geçirin ve beklenmeyen script veya olay işleyici içeren ayar değerleri olup olmadığını kontrol edin. Genel öneri
- Şüpheli değerler bulunursa ilgili sayfaları temizleyin veya widget ayarlarını sıfırlayın, ardından sitede oturumları ve yönetici hesaplarını gözden geçirin. Genel öneri
Ek önlemler
- Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Yönetici hesapları için güçlü parola ve iki faktörlü doğrulama kullanın; düzenleyici rollerine verilen yetkileri en aza indirin. Genel öneri
- Sayfa içeriğinde beklenmeyen değişiklikler için izleme yapın ve bir içerik güvenlik politikası (CSP) uygulamayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| iqonicdesign Graphina – Charts and Graphs For Elementor | ≤ 3.1.13 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/2d31adfe-9b4b-43df-8077-9420a2643313 Diğer
- plugins.trac.wordpress.org/…13/templates/graphina-apex-tree/tree-chart.php Diğer
- plugins.trac.wordpress.org/…13/templates/graphina-apex-tree/tree-chart.php Diğer
- plugins.trac.wordpress.org/…13/templates/graphina-apex-tree/tree-chart.php Diğer
- plugins.trac.wordpress.org/…arts/Elementor/Elements/ApexTree/TreeChart.php Diğer
- plugins.trac.wordpress.org/…udes/Charts/Elementor/GraphinaApexTreeBase.php Diğer
- plugins.trac.wordpress.org/…udes/Charts/Elementor/GraphinaApexTreeBase.php Diğer
- plugins.trac.wordpress.org/…14/templates/graphina-apex-tree/tree-chart.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.