- Yama var
- Son 7 gün
- CWE-79
CVE-2026-81812
Elementor eklentisinde yetkili kullanıcılar üzerinden SVG yüklemesiyle depolanan XSS açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Elementor Website Builder eklentisinin 4.3.5 öncesi sürümleri, yüklenen SVG dosyalarını her yükleme yolunda temizlemez. Bu durum, Author rolü ve üzeri yetkiye sahip kullanıcıların içinde JavaScript bulunan bir dosya yüklemesine olanak tanır; bu dosyayı açan her kullanıcının tarayıcısında kod çalışır. Sömürü için Elementor Website Builder eklentisinin 4.3.5 öncesi sürümlerinde filtrelenmemiş dosya yüklemelerinin ayarlardan etkinleştirilmiş olması gerekir; bu ayar varsayılan değildir.
Kaynaktaki açıklama (İngilizce)
The Elementor Website Builder WordPress plugin before 4.3.5 does not sanitize uploaded SVG files on every upload route, allowing users with the Author role and above to upload a file containing JavaScript, which will run in the browser of any user who opens it. Exploitation requires unfiltered file uploads to be enabled in the Elementor Website Builder WordPress plugin before 4.3.5 settings, which is not the default.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Elementor Website Builder | < 4.3.5 | 4.3.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/ba550282-d354-4d39-95c6-c4820a91f270 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.