- Yama var
- Son 7 gün
- CWE-79
CVE-2026-110524
Copy Anything to Clipboard for WordPress eklentisi: shortcode özniteliğinde depolanan XSS
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, sitenize içerik yazma yetkisi olan kullanıcıların yöneticiler gibi daha yetkili kişilere zarar vermesine imkân tanıyabilir. Saldırı için yüksek yetkili bir hesaba ihtiyaç duymasa da risk orta düzeydedir ve eklentinin güncellenmesi önerilir.
ÖzetTürkçe
Copy Anything to Clipboard for WordPress eklentisinin 5.5.5 öncesi sürümlerinde, bir shortcode özniteliği kaydedilmeden ve sayfaya geri yazılmadan önce temizlenmiyor ve kaçışlanmıyor. Bu durum, katılımcı (contributor) ve üzeri role sahip kullanıcıların, içeriği görüntüleyen daha yetkili kullanıcılara yönelik depolanan siteler arası betik çalıştırma (XSS) saldırısı yapmasına olanak tanıyabilir.
Saldırgan ne yapabilir?
Saldırgan, daha yetkili bir kullanıcının tarayıcısında kötü amaçlı betik çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya yönetici hesabının ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Copy Anything to Clipboard for WordPress WordPress plugin before 5.5.5 does not sanitize and escape a shortcode attribute before storing it and writing it back into the page through a client-side script, which could allow users with the contributor role and above to perform Stored Cross-Site Scripting attacks against higher-privileged users who view and interact with the content.
Ne yapmalı?
- Copy Anything to Clipboard for WordPress eklentisini 5.5.5 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde katılımcı ve üzeri role sahip kullanıcı hesaplarını gözden geçirin ve gereksiz yetkili hesapları kaldırın ya da düşürün. Genel öneri
- Eklentinin shortcode özniteliklerini içeren yazı ve sayfaları inceleyin; şüpheli betik içeren içerikleri temizleyin. Genel öneri
Ek önlemler
- Katılımcı ve üzeri rollere yalnızca güvendiğiniz kullanıcılara yetki verin. Genel öneri
- Yönetici paneline giriş yapan hesaplar için iki faktörlü kimlik doğrulama kullanın. Genel öneri
- Yazılım ve eklentilerinizi düzenli olarak güncel tutun ve güvenlik bültenlerini takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Copy Anything to Clipboard for WordPress | < 5.5.5 | 5.5.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/4ee29b7c-ae80-4875-bd78-7128ff4e5e1c İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 6.8
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.