- Son 7 gün
- CWE-79
CVE-2026-110776
MDTF Meta Data and Taxonomies Filter eklentisinde kimlik doğrulaması gerektirmeyen kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, web sitesini ziyaret eden kişilerin güvenliğini tehdit eder ve sitenin itibarını zedeleyebilir. Saldırganın herhangi bir hesap açmasına gerek olmadığı için risk yüksektir ve hızlı işlem gerektirir. Eklentiyi kullanan siteler, güvenlik güncellemesi yayımlanana kadar riski üstlenmiş olur.
ÖzetTürkçe
MDTF – Meta Data and Taxonomies Filter WordPress eklentisinin 1.4.1 ve önceki sürümlerinde, 'vars' parametresi yeterli girdi temizleme ve çıktı kaçışı yapılmadan işlendiği için kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırgan kimlik doğrulaması olmadan zararlı betik enjekte edebilir. Açık, hedef sitede [meta_data_filter_results] kısa kodunu içeren yayımlanmış bir sayfa veya yazı bulunması durumunda istismar edilebilir.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betiği içeren sayfayı açan kullanıcıların tarayıcısında kod çalıştırabilir; bu da oturum bilgilerinin çalınmasına, kullanıcı adına işlem yapılmasına veya sayfa içeriğinin değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The MDTF – Meta Data and Taxonomies Filter plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'vars' parameter in all versions up to, and including, 1.4.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires that a published page or post on the target site contains the [meta_data_filter_results] shortcode, which is the primary output feature of the plugin.
Ne yapmalı?
- Yayıncının belirttiği düzeltilmiş bir sürüm bulunmadığından, eklentinin 1.4.1 sürümünün kullanılmadığını doğrulayın ve güvenlik güncellemesi yayımlandığında hemen güncelleyin. Genel öneri
- Eklenti güncel bir sürüme yükseltilene kadar, [meta_data_filter_results] kısa kodunu içeren sayfa ve yazıları geçici olarak yayından kaldırın veya kısa kodu kaldırın. Genel öneri
- Eklentiyi kullanmıyorsanız tamamen devre dışı bırakın ve kaldırın. Genel öneri
- Kısa kodun kullanıldığı içerikleri inceleyin ve şüpheli betik veya HTML içeren kayıtları temizleyin. Genel öneri
Ek önlemler
- Eklenti geliştiricisinin duyurularını ve WordPress eklenti deposunun güncelleme notlarını düzenli olarak takip edin. Genel öneri
- Tarayıcı içerik güvenlik politikası (CSP) gibi ek katmanlarla satır içi betik çalışmasını sınırlandırmayı değerlendirin. Genel öneri
- Web sunucu ve site erişim günlüklerinde şüpheli istekleri ve beklenmedik içerik değişikliklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| realmag777 MDTF – Meta Data and Taxonomies Filter | ≤ 1.4.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/78502e58-c447-48d3-a627-ec5eeb330928 Diğer
- plugins.trac.wordpress.org/…ter/trunk/views/shortcode/meta_data_filter.php Diğer
- plugins.trac.wordpress.org/…ter-and-taxonomy-filter/trunk/classes/page.php Diğer
- plugins.trac.wordpress.org/…ter-and-taxonomy-filter/trunk/classes/page.php Diğer
- plugins.svn.wordpress.org/wp-meta-data-filter-and-taxonomy-filter/trunk Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.