- Yama var
- Son 7 gün
- CWE-79
CVE-2026-113500
LiteSpeed Cache eklentisinde font görüntüleme optimizasyonu kaynaklı kimlik doğrulamasız kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen LiteSpeed Cache eklentisinin 7.9.2 öncesi sürümleri, HTML optimizasyon rutinlerinden birini yalnızca stil sayfası içeriğiyle sınırlamadığı için, oluşturulan sayfadaki bir özniteliği kapatan işaretlemeyi silebilmektedir. Bunun, çıktısı alınmadan (escape edilmeden) gösterilen yorum yazarı verisiyle birleştirilmesi, yorumları yayımlanan kimliği doğrulanmamış kullanıcıların olay işleyici (event-handler) öznitelikleri enjekte etmesine olanak tanımaktadır. Enjekte edilen bu öznitelikler, optimizasyon etkinken ön yüz sayfalarını görüntüleyen, oturum açmış bir yönetici dahil her ziyaretçinin tarayıcısında JavaScript çalıştırabilmektedir. Açıklık, CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H vektörü ile 7.5 (YÜKSEK) puan almıştır.
Kaynaktaki açıklama (İngilizce)
The LiteSpeed Cache WordPress plugin before 7.9.2 does not limit one of its HTML optimization routines to stylesheet content, so it can delete the markup that closes an attribute in the rendered page, and combined with unescaped comment author output this allows unauthenticated users whose comments are published to inject event-handler attributes that run JavaScript in the browser of any visitor, including a logged-in administrator, viewing front-end pages while the optimization is enabled.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| LiteSpeed Cache | < 7.9.2 | 7.9.2 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f841e09f-275c-4c10-a5b7-af294f92db29 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.