- Yama var
- Son 7 gün
- CWE-79
CVE-2026-81813
Elementor eklentisinde katkıda bulunan kullanıcılar SVG temizleyici atlatılarak kalıcı XSS yapılabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için Elementor Website Builder eklentisinin 4.3.5 sürümünden önceki sürümleri, SVG dosyalarının metin içeriğini temizlemiyor; yalnızca öğelerini ve özniteliklerini denetliyor. Bu durum, Contributor rolü ve üzeri yetkiye sahip kullanıcıların, SVG dosyası sayfa içine satır içi olarak yerleştirildiğinde CDATA bölümünden çıkan ve bu sayfayı görüntüleyen herhangi bir kullanıcının tarayıcısında çalışan bir yük kaydetmesine olanak tanıyor. Kod çalıştırma yalnızca Chromium tabanlı tarayıcılarda gerçekleşiyor; Firefox etkilenmiyor. CVSS 3.1 vektörü: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H (CVSS puanı: 6.8, Orta).
Kaynaktaki açıklama (İngilizce)
The Elementor Website Builder WordPress plugin before 4.3.5 does not sanitize the text content of SVG files, checking only their elements and attributes, allowing users with the Contributor role and above to store a payload which breaks out when the SVG is rendered inline in a page and executes in the browser of any user viewing it. Execution is specific to Chromium-based browsers; Firefox is not affected.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Elementor Website Builder | < 4.3.5 | 4.3.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/d7c6f47b-feda-4fba-99a3-af3a7c9c8417 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.