- Son 7 gün
- CWE-79
CVE-2026-111727
Appointment Booking Calendar eklentisinde kimliği doğrulanmış kullanıcılar için depolanmış XSS açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenizde kayıtlı bazı kullanıcı hesaplarının zararlı kod yerleştirmesine ve diğer ziyaretçilerin ya da yöneticilerin bu koddan etkilenmesine yol açabilir. Saldırı için yetkili bir hesap gerektiğinden risk orta düzeydedir, ancak randevu sisteminizi kullanan müşterilerinizin ve personelinizin güvenliğini etkileyebilir. Eklentiyi güncellemeniz ve kullanıcı yetkilerini gözden geçirmeniz önerilir.
ÖzetTürkçe
Appointment Booking Calendar WordPress eklentisinin 1.4.05 ve önceki sürümlerinde, 'vs_text_submitbtn' parametresi yeterince temizlenmediği ve çıktıda kaçış karakterlerine çevrilmediği için depolanmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırganın Subscriber ve üzeri yetkiye sahip bir hesabı olması gerekir ve bu hesabın bir yönetici tarafından takvim sahibi (owner) olarak atanmış olması istenir. Varsayılan kurulumda bu atama yapılmadığı için saldırı için editör ve üzeri yetki gerekir.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betik kodunu takvim sayfalarına yerleştirebilir; bu sayfayı açan kullanıcıların tarayıcısında kod çalışır ve oturum bilgileri ya da yönetim işlemleri için kötüye kullanılabilir.
Kaynaktaki açıklama (İngilizce)
The Appointment Booking Calendar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'vs_text_submitbtn' parameter in all versions up to, and including, 1.4.05 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the attacker to be assigned as a calendar owner, a per-user grant that any administrator can extend to users as low as Subscriber level through the plugin's calendar list screen. Exploitation by attackers with subscriber-level access and above requires that an administrator has assigned the attacker's account as owner (conwer) of a calendar via the plugin's calendar list screen; the plugin's UI lists all registered users regardless of role, so a Subscriber can be assigned. On a default installation, where that is not configured, the vulnerability requires attackers with editor-level access and above.
Ne yapmalı?
- Üretici tarafından verilmiş bir düzeltilmiş sürüm bilgisi bulunmamaktadır; bu nedenle eklentinin 1.4.05 sürümünden yeni, düzeltilmiş bir sürüm çıkıp çıkmadığını eklenti sağlayıcısından veya WordPress eklenti deposundan kontrol edin. Genel öneri
- Düzeltilmiş bir sürüm yayımlanana kadar Appointment Booking Calendar eklentisini devre dışı bırakmayı veya kullanımını durdurmayı değerlendirin. Genel öneri
- Eklenti yönetim ekranındaki takvim listesini inceleyin ve hiçbir kullanıcıya gereksiz yere takvim sahipliği (owner) atanmadığından emin olun. Genel öneri
- Sistemdeki Subscriber, Contributor ve Editor hesaplarını gözden geçirin; tanınmayan veya gereksiz hesapları kaldırın ya da yetkilerini düşürün. Genel öneri
Ek önlemler
- Kullanıcı kayıt işlemlerini kapatın veya yeni kayıtları yönetici onayına bağlayın. Genel öneri
- Takvim ve sayfa içeriklerinde beklenmedik betik etiketleri veya değişiklikler olup olmadığını düzenli olarak kontrol edin. Genel öneri
- Tarayıcılarda içerik güvenlik politikası (CSP) gibi ek koruma katmanlarını kullanmayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| codepeople Appointment Booking Calendar | ≤ 1.4.05 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/dd0e4753-222a-421f-a830-58f6af055dd8 Diğer
- plugins.trac.wordpress.org/…lendar/tags/1.4.05/inc/cpabc_scheduler.inc.php Diğer
- plugins.trac.wordpress.org/…calendar/tags/1.4.05/inc/cpabc_apps_go.inc.php Diğer
- plugins.trac.wordpress.org/…calendar/tags/1.4.05/inc/cpabc_apps_go.inc.php Diğer
- plugins.trac.wordpress.org/…calendar/tags/1.4.05/inc/cpabc_apps_go.inc.php Diğer
- plugins.trac.wordpress.org/…calendar/tags/1.4.05/inc/cpabc_apps_on.inc.php Diğer
- plugins.trac.wordpress.org/log/appointment-booking-calendar Diğer
- plugins.trac.wordpress.org/…ing-calendar/trunk/inc/cpabc_scheduler.inc.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.