- Yama var
- Son 7 gün
- CWE-79
CVE-2026-85683
Jane Menu eklentisinde kimlik doğrulaması gerektirmeyen kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Jane Menu eklentisinin 1.5.1 sürümünden önceki sürümlerinde, bir form işleyicisinde herhangi bir yetki veya nonce kontrolü bulunmamaktadır. Bu işleyiciye kimlik doğrulaması yapılmamış kullanıcılar da erişebildiğinden, saldırganlar yayımlanmış herhangi bir sayfayı seçtikleri uzak bir belgeye bağlayabilmektedir. Eklenti bu belgeyi çekip başlık (head) ve gövde (body) içeriğini kaçış (escaping) işlemi yapılmadan sayfaya yazdırdığı için, kimliği doğrulanmamış bir saldırgan, o sayfayı ziyaret eden herhangi bir kullanıcının tarayıcısında, yönetici dahil, keyfi JavaScript çalıştırabilmektedir.
Kaynaktaki açıklama (İngilizce)
The Jane Menu WordPress plugin before 1.5.1 does not have any capability or nonce checks on one of its form handlers, which is reachable by unauthenticated users, allowing them to bind any published page to a remote document of their choosing. The plugin then fetches that document and outputs its head and body into the page without escaping, so an unauthenticated attacker can run arbitrary JavaScript in the browser of any visitor to that page, including an administrator.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jane Menu | < 1.5.1 | 1.5.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/76cfadde-2db5-4e01-b44b-c399381c339b İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.