Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-111314

affiliate-toolkit WordPress eklentisinde kimlik doğrulamasız kalıcı siteler arası betik çalıştırma (XSS)

cservit affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitenizde ziyaretçilere veya yöneticilere zararlı içerik gösterilmesine ve hesap ele geçirme riskine yol açabilir. Eklentiyi kullanan siteler için öncelikli olarak güncelleme yapılması ve ayarların kontrol edilmesi önerilir.

ÖzetTürkçe

affiliate-toolkit eklentisinin 3.9.2 ve önceki sürümlerinde, 'atkp_product_producturl' parametresi yeterince temizlenmediği ve çıktıda kaçış karakterleri uygulanmadığı için kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Açık, eklentinin AJAX yükleme / AJAX işleyici seçeneği etkinleştirilmişse ve saldırgan render edilecek bir ürün kimliğini biliyorsa kimlik doğrulaması olmadan istismar edilebilir. Varsayılan kurulumda ise bu seçenek yapılandırılmadığından saldırganın en az katkıda bulunan (contributor) yetkisine sahip olması gerekir.

Saldırgan ne yapabilir?

Saldırgan, enjekte ettiği betiklerin enjekte edilmiş sayfayı açan kullanıcıların tarayıcısında çalışmasını sağlayabilir; bu da oturum bilgilerinin çalınmasına, kullanıcı adına istenmeyen işlemler yapılmasına veya yönlendirmeler yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

The affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'atkp_product_producturl' parameter in all versions up to, and including, 3.9.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation by unauthenticated attackers requires that the plugin's AJAX loading / AJAX handler option is enabled (atkp_options::get_ajax_loading_enabled() || get_ajax_handler_enabled()) and the attacker knows a product id to render. On a default installation, where that is not configured, the vulnerability requires attackers with contributor-level access and above.

Ne yapmalı?

  1. Eklentiyi 3.9.2 sürümünden daha yeni, güvenlik düzeltmesi içeren bir sürüme güncelleyin. Güncel sürüm için satıcının resmi kaynaklarını kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar eklentinin AJAX yükleme / AJAX işleyici seçeneklerini devre dışı bırakın. Genel öneri
  3. Katkıda bulunan (contributor) ve üzeri yetkiye sahip hesapları gözden geçirin, gereksiz hesapları kaldırın veya yetkilerini düşürün. Genel öneri
  4. Eklentinin ürün sayfalarında ve ürün bağlantılarında şüpheli betik veya HTML içeriği olup olmadığını kontrol edin ve bulunanları temizleyin. Genel öneri

Ek önlemler

  • Eklenti ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
  • Tarayıcı tarafında içerik güvenlik politikası (Content Security Policy) uygulayarak satır içi betik çalıştırmayı sınırlandırmayı değerlendirin. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) ve sunucu günlüklerinde şüpheli parametre içeren isteklerin izlenmesini sağlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
cservit affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display ≤ 3.9.2 –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.