Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-97019

AMP for WP eklentisi: kimlik doğrulaması gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS)

Mohammed Kaludi AMP for WP – Accelerated Mobile Pages

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, sitenizi ziyaret eden kullanıcıların güvenliğini tehlikeye atabilir ve sitenizin güvenilirliğine zarar verebilir. Saldırganların oturum açmadan bile saldırı zinciri oluşturabilmesi nedeniyle öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

AMP for WP – Accelerated Mobile Pages eklentisinin 1.1.17 sürümüne kadar olan tüm sürümlerinde, 'headline-*' kısa kod (shortcode) özniteliği üzerinden kalıcı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Girdi temizleme ve çıktı kaçışlama yetersiz olduğu için, Subscriber yetkisine sahip bir kullanıcı zararlı bir kısa kodu biyografi alanına kaydedebilmektedir. Eklentinin AMP içerik temizleyicileri, kısa kodlar işlenmeden önce çalıştığından üretilen işaretleme sonradan temizlenmemektedir.

Saldırgan ne yapabilir?

Saldırgan, enjekte ettiği betik kodunu içeren sayfaya erişen kullanıcıların tarayıcısında çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya kullanıcı adına işlem yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

The AMP for WP – Accelerated Mobile Pages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'headline-*' Shortcode Attribute in all versions up to, and including, 1.1.17 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. A Subscriber-level user can store a malicious shortcode in their biographical info field; because WordPress core's wp_filter_kses() only strips HTML tags and not shortcode syntax, and because AMP content sanitizers run before do_shortcode() processes the archive description, the synthesized markup is never post-sanitized.

Ne yapmalı?

  1. AMP for WP eklentisini, güvenlik açığının giderildiği sürüme yükseltin. Kaynakta sabit sürüm bilgisi verilmediğinden, eklentinin en güncel sürümünü kurmanız önerilir. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya AMP sayfalarını geçici olarak kapatmayı değerlendirin. Genel öneri
  3. Subscriber ve benzeri düşük yetkili kullanıcıların biyografi alanlarını ve diğer kullanıcı tarafından düzenlenebilen alanları, kısa kod içeren içerikler açısından inceleyin ve şüpheli kayıtları temizleyin. Genel öneri
  4. Güncelleme sonrasında, AMP sayfalarının kaynak kodunda beklenmeyen betik etiketleri olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Kullanıcıların kısa kod içeren içerik kaydetmesini kısıtlayın veya yetkisiz kısa kodları filtreleyen ek bir güvenlik katmanı kullanın. Genel öneri
  • Kullanıcı profil alanlarındaki değişiklikleri ve şüpheli kısa kod kullanımlarını izleyen günlük kayıtlarını etkinleştirin. Genel öneri
  • Eklentilerinizi ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Mohammed Kaludi AMP for WP – Accelerated Mobile Pages ≤ 1.1.17 –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.