- Yama var
- Son 7 gün
- CWE-79
CVE-2026-94264
Advanced Custom Fields: Extended eklentisinde form kısa kodu özniteliklerinden kaynaklanan siteler arası betik çalıştırma (XSS) açığı
Advanced Custom Fields: ExtendedAdvanced Custom Fields: Extended PRO
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Advanced Custom Fields: Extended WordPress eklentisi, 0.9.2.8 sürümünden önce, ve Advanced Custom Fields: Extended PRO WordPress eklentisi, 0.9.2.8 sürümünden önce, bazı form kısa kodu özniteliklerini doğrulamaz ve kaçışlamaz (escape). Bu öznitelikler ziyaretçinin kendi isteğinden alınan değerlere yönlendirilebilir ve ardından kaçışlanmadan çıktıya yazılır. Bu durum, katkıda bulunan (contributor) düzeyinde bir role sahip kullanıcıların, hazırlanmış bir bağlantıyı veya sayfayı açmaya yönlendirilen herkesin tarayıcısında, oturum açmış bir yönetici dahil, keyfi betik çalıştırmasına olanak tanır.
Bu, CVE-2023-5292 için eksik bir düzeltmedir; o açığın engelleme listesi yalnızca üç HTML sarmalayıcı özniteliğini kapsar.
Kaynaktaki açıklama (İngilizce)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not validate or escape some of its form shortcode attributes, which can be pointed at values taken from the visitor's own request and are then output without escaping, allowing users with a role as low as contributor to have arbitrary script run in the browser of anyone led to open a crafted link or page, including a logged-in administrator.
This is an incomplete fix for CVE-2023-5292, whose deny-list covers only the three HTML wrapper attributes.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Advanced Custom Fields: Extended | ≥ 0.8.9.4, < 0.9.2.8 | 0.9.2.8 |
| Advanced Custom Fields: Extended PRO | ≥ 0.8.9.4, < 0.9.2.8 | 0.9.2.8 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/4475b8a6-0d25-49b2-b973-5e19b8958595 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.