- Yama var
- Son 7 gün
- CWE-79
CVE-2026-111966
Profile Builder eklentisinde kısa kod özniteliği üzerinden kalıcı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen User Profile Builder eklentisinin 4.0.5 sürümünden önceki sürümleri, kısa kod özniteliklerinden birini yönlendirme mesajında geri çıktı olarak vermeden önce temizlemez ve kaçışlamaz. Bu durum, katkıda bulunan (contributor) rolü kadar düşük yetkiye sahip kullanıcıların, etkilenen formu gönderen daha yüksek yetkili kullanıcılara karşı kalıcı siteler arası betik çalıştırma (Stored XSS) saldırıları gerçekleştirmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
The User Profile Builder WordPress plugin before 4.0.5 does not sanitise and escape one of its shortcode attributes before outputting it back in a redirect message, which could allow users with a role as low as contributor to perform Stored Cross-Site Scripting attacks against higher-privileged users who submit the affected form.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| User Profile Builder | < 4.0.5 | 4.0.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/26983c21-09d2-491f-b62f-1270b335dfcd İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.