- Son 7 gün
- CWE-79
CVE-2026-111820
Analytics Insights WordPress eklentisi: GA4 sayfa başlığında kalıcı siteler arası betik çalıştırma (XSS)
deconf Analytics Insights – Google Analytics Dashboard for WordPress
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, web sitenizin ziyaretçilerine ve yöneticilerine zararlı kod gösterebilecek bir güvenlik zafiyetidir ve kimlik doğrulama gerektirmediği için kolayca istismar edilebilir. Müşterilerinizin ve sitenizin itibarının zarar görmemesi için eklentinin hemen güncellenmesi önerilir.
ÖzetTürkçe
Analytics Insights – Google Analytics Dashboard for WordPress eklentisinin 6.3.12 ve daha eski sürümlerinde, GA4 gerçek zamanlı verilerindeki sayfa başlığı girdisi yeterince temizlenmediği ve çıktıda kaçış karakterleriyle korunmadığı için kalıcı bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırı kimlik doğrulaması gerektirmez. Bu eklentiyi kullanan WordPress siteleri etkilenir.
Saldırgan ne yapabilir?
Saldırgan, enjekte ettiği betiği içeren sayfaları ziyaret eden kullanıcıların tarayıcısında çalıştırabilir; bu yolla oturum bilgilerine erişim, yönetici hesaplarının ele geçirilmesi veya zararlı yönlendirmeler gibi sonuçlar doğabilir.
Kaynaktaki açıklama (İngilizce)
The Analytics Insights – Google Analytics Dashboard for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Page Title in all versions up to, and including, 6.3.12 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Ne yapmalı?
- Eklentiyi 6.3.12 sürümünden daha yeni bir sürüme güncelleyin. Güncel sürüm bilgisi için eklentinin resmi WordPress depo sayfasına veya yönetim panelindeki güncelleme ekranına bakın. Genel öneri
- Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı değerlendirin, özellikle site yöneticilerinin ve ziyaretçilerinin etkilenme riski yüksekse. Genel öneri
- Sayfa başlıklarında beklenmeyen script etiketleri veya kod parçaları olup olmadığını kontrol edin ve şüpheli içerikleri temizleyin. Genel öneri
Ek önlemler
- Yönetici ve editör hesaplarında güçlü parolalar kullanın ve iki faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Tarayıcı içerik güvenlik politikası (CSP) başlıklarını uygulayarak satır içi betik çalıştırmayı kısıtlamayı değerlendirin. Genel öneri
- Web sunucusu ve WordPress günlüklerini düzenli olarak izleyin ve olağandışı istekleri inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| deconf Analytics Insights – Google Analytics Dashboard for WordPress | ≤ 6.3.12 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.