- Yama var
- Son 7 gün
- CWE-79
CVE-2026-114407
e107 CMS'te search.php author parametresi üzerinden yansıtılmış XSS açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
e107 CMS 2.3.13 öncesi sürümlerde yansıtılmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Bu açık, kimlik doğrulaması yapılmamış saldırganların search.php dosyasındaki author GET parametresini manipüle ederek kötü amaçlı HTML enjekte etmesine olanak tanır. Parametre parse_str ile ayrıştırılır ve form işleyicisinin 'other' seçeneği aracılığıyla, kaçış karakterleri uygulanmadan oluşturulan bir input etiketine eklenir. Saldırganlar, author parametresi içeren tek bir GET isteği hazırlayarak input etiketinden çıkabilir ve onerror işleyicisine sahip bir img öğesi enjekte edebilir; böylece kurbanın tarayıcı oturumunda keyfi JavaScript kodu çalıştırılabilir.
Kaynaktaki açıklama (İngilizce)
e107 CMS before 2.3.13 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious HTML by manipulating the author GET parameter in search.php, which is parsed with parse_str() and concatenated unescaped into a rendered input tag via the form handler's 'other' option key. Attackers can craft a single GET request containing a crafted author parameter to break out of the HTML input tag and inject an img element with an onerror handler, executing arbitrary JavaScript in the victim's browser session.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| e107inc e107 | ≥ 2.2.0, < 2.3.13 | 2.3.13 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.