- Son 7 gün
- CWE-79
CVE-2026-120531
Subscribe2 eklentisi <= 10.47: kimlik doğrulama gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, abonelik ve bülten eklentisi kullanan web sitelerinde ziyaretçilere zararlı kod gösterilmesine yol açabilir. Saldırı için sisteme giriş yapmak gerekmediğinden risk yüksektir ve sitenin itibarını ve müşteri güvenini doğrudan etkileyebilir. Eklentinin güncellenmesi veya güvenlik çözümü uygulanana kadar hızlı hareket edilmelidir.
ÖzetTürkçe
Subscribe2 – Form, Email Subscribers & Newsletters WordPress eklentisinin 10.47 dahil olan tüm sürümlerinde, 'data[ip]' parametresi üzerinden girilen veriler yeterince temizlenmediği ve çıktıda kaçış karakterleriyle güvenli hale getirilmediği için kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Açık, eklentiyi kullanan tüm WordPress sitelerini etkilemektedir. Saldırganın oturum açmasına gerek yoktur.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, enjekte ettiği betiklerin etkilenen sayfayı ziyaret eden kullanıcıların tarayıcısında çalışmasını sağlayabilir. Bu yolla kullanıcı oturumlarını ele geçirme, yönlendirme veya sayfa içeriğini değiştirme gibi işlemler mümkün olabilir.
Kaynaktaki açıklama (İngilizce)
The Subscribe2 – Form, Email Subscribers & Newsletters plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘data[ip]’ parameter in all versions up to, and including, 10.47 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Ne yapmalı?
- Üretici tarafından sağlanmış bir düzeltilmiş sürüm bilgisi bu kayıtta yer almamaktadır. Eklentinin geliştiricisinin yayımladığı en son sürümü kontrol edin ve 10.47 ve altındaki sürümleri kullanıyorsanız güncelleyin. Genel öneri
- Güncelleme hemen uygulanamıyorsa eklentiyi geçici olarak devre dışı bırakın veya abonelik formlarını ziyaretçilere kapatın. Genel öneri
- Veritabanında ve sayfa içeriklerinde, özellikle abonelik kayıtları ve form alanlarıyla ilgili olarak, şüpheli script etiketleri veya olağandışı içerik olup olmadığını inceleyin ve bulunanları temizleyin. Genel öneri
- Güncelleme sonrasında da siteyi tarayıcı tabanlı bir güvenlik taraması ile kontrol edin ve ziyaretçilerden gelen anormal davranış kayıtlarını izleyin. Genel öneri
Ek önlemler
- Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Yönetici paneli ve sayfa çıktısı için içerik güvenlik politikası (CSP) gibi ek tarayıcı tabanlı koruma katmanları uygulamayı değerlendirin. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) kullanıyorsanız, form parametrelerine yönelik betik enjeksiyonu desenlerini izleyin ve engelleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| wedevs Subscribe2 – Form, Email Subscribers & Newsletters | ≤ 10.47 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.