- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116884
SemanticMediaWiki tooltip modülünde data-* öznitelikleri üzerinden kalıcı XSS
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Wiki içeriğini düzenleyen herhangi bir kullanıcı, sayfayı görüntüleyen diğer kişilerin, özellikle yöneticilerin tarayıcılarında kod çalıştırabilir. Bu, hesap ele geçirme ve veri sızıntısı riski taşır. Eklentinin güncellenmesi bu riski giderdiği için öncelikli olarak planlanmalıdır.
ÖzetTürkçe
SemanticMediaWiki'nin 5.0.0 sürümünden 7.3.1 öncesine kadar olan sürümlerinde, ext.smw.tooltip.tippy.js betiği data-* öznitelikleri içeriğini innerHTML ile ve HTML'ye izin verilen modda işliyor. Bu nedenle kalıcı siteler arası betik çalıştırma (XSS) açığı oluşuyor. Etkilenen sürümlerde yazma yetkisi olan editörler, sayfaya kötü amaçlı data-content, data-title, data-top, data-bottom veya data-theme öznitelikleri içeren bir .smw-highlighter öğesi ekleyebilir.
Saldırgan ne yapabilir?
Saldırgan, kötü amaçlı öğenin üzerine gelen kullanıcıların, yöneticiler dahil, tarayıcısında JavaScript kodu çalıştırabilir. Bu da oturum bilgilerinin çalınması veya yönetici adına işlem yapılması riskini doğurur.
Kaynaktaki açıklama (İngilizce)
SemanticMediaWiki from 5.0.0 before 7.3.1 contains a stored cross-site scripting vulnerability in ext.smw.tooltip.tippy.js that renders data-* attributes via innerHTML with allowHTML enabled. Editors can plant a .smw-highlighter span with a malicious data-content, data-title, data-top, data-bottom, or data-theme attribute to execute JavaScript when viewers, including administrators, hover it.
Ne yapmalı?
- SemanticMediaWiki eklentisini 7.3.1 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme sonrasında wiki sayfalarında .smw-highlighter öğeleri içeren şüpheli düzenlemeleri gözden geçirin ve gerekirse temizleyin. Genel öneri
Ek önlemler
- Wiki düzenleyici yetkilerini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
- Yöneticilerin hesaplarında ayrıcalıklı işlemleri yapmadan önce sayfa içeriklerini dikkatle inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SemanticMediaWiki | ≥ 5.0.0, < 7.3.1 | 7.3.1 |
| 7.3.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.