- Yama var
- Son 7 gün
- CWE-79
CVE-2026-111737
Speed Optimizer eklentisinde DNS ön getirme ve yazı tipi ön yükleme URL listelerinden kaynaklanan kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Speed Optimizer eklentisi, 7.8.5 sürümünden önceki sürümlerde bazı ayarlarını ön uç sayfalarının head bölümünde çıktılamadan önce temizlemiyor ve kaçışlamıyor. Bu durum, admin gibi yüksek yetkili kullanıcıların, unfiltered_html yetkisi devre dışı bırakılmış olsa bile (örneğin çoklu site kurulumunda) kalıcı siteler arası betik çalıştırma (XSS) saldırıları gerçekleştirmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
The Speed Optimizer WordPress plugin before 7.8.5 does not sanitise or escape some of its settings before outputting them in the head of front-end pages, which could allow high-privilege users such as admins to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in a multisite setup).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Speed Optimizer | < 7.8.5 | 7.8.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/308b6173-139d-4940-869d-c9ff1e83c323 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.