- Yama var
- Son 7 gün
- CWE-79
CVE-2026-111574
Redirection for Contact Form 7 eklentisinde kimlik doğrulaması gerektirmeyen kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Redirection for Contact Form 7 WordPress eklentisinin 3.2.12 sürümünden önceki sürümleri, gönderilen form verilerini lead kayıtları olarak saklamadan önce temizlemez ve kaçışlamaz; bu veriler lead debug metabox alanında çıktılanır. Bu durum, kimlik doğrulaması yapılmamış saldırganların, eklentinin debug modu etkinken, oturum açmış bir kullanıcı girişi görüntülediğinde çalışan kötü amaçlı bir betik kaydetmesine olanak tanır. CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Kaynaktaki açıklama (İngilizce)
The Redirection for Contact Form 7 WordPress plugin before 3.2.12 does not sanitise or escape submitted form data stored as lead entries before outputting it in the lead debug metabox, allowing unauthenticated attackers to store a malicious script that executes when a logged-in user views the entry with the Redirection for Contact Form 7 WordPress plugin before 3.2.12's debug mode enabled.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Redirection for Contact Form 7 | ≥ 2.2.7, < 3.2.12 | 3.2.12 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f40440de-3947-48f9-8fa4-200f83e87d8e İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.