- Yama var
- Son 7 gün
- CWE-79
CVE-2026-113499
LiteSpeed Cache eklentisinde CDN satır içi CSS yeniden yazımından kaynaklanan kimlik doğrulamasız kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
LiteSpeed Cache WordPress eklentisinin 7.9.2 sürümünden önceki sürümleri, HTML yeniden yazma rutinlerinden birini yalnızca stil sayfası içeriğiyle sınırlamadığı için, işlenmiş sayfada bir öznitelik değerini sonlandıran tırnak işaretini kaldırmaktadır. Bu durum, yorum yazarı çıktısının kaçışlanmamasıyla birleştiğinde, yorumu yayımlanan kimliği doğrulanmamış kullanıcıların öznitelik ekleyerek tarayıcıda JavaScript çalıştırmasına olanak tanır. Etkilenen seçenek etkinken ön yüz sayfalarını görüntüleyen herhangi bir ziyaretçi, oturum açmış bir yönetici dahil, bu kodun etkisinde kalabilir.
Kaynaktaki açıklama (İngilizce)
The LiteSpeed Cache WordPress plugin before 7.9.2 does not restrict one of its HTML rewriting routines to stylesheet content, so it removes a quote that terminates an attribute in the rendered page, and combined with unescaped comment author output this allows unauthenticated users whose comment is published to inject attributes that execute JavaScript in the browser of any visitor, including a logged-in administrator, who views front-end pages while the affected option is enabled.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| LiteSpeed Cache | < 7.9.2 | 7.9.2 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f04afdab-33fb-41a9-9270-908673998bb8 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.