- Yama var
- Son 7 gün
- CWE-79
CVE-2026-97328
WebP Express eklentisinde kimlik doğrulaması gerektirmeyen kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WebP Express WordPress eklentisinin 0.25.16 sürümünden önceki sürümleri, varsayılan olmayan bir görüntü sunum modu etkinleştirildiğinde, birlikte gelen HTML ayrıştırıcısının öğe özniteliklerine yeniden yazdığı değerleri kaçışlamaz (escape). Bu durum, kimlik doğrulaması yapılmadan içerik gönderilmesine olanak tanır; gönderilen içerik saklanır ve etkilenen bir sayfayı görüntüleyen herhangi bir kullanıcının, yöneticiler dahil, tarayıcısında siteler arası betik çalıştırma (XSS) olarak çalıştırılır.
Kaynaktaki açıklama (İngilizce)
The WebP Express WordPress plugin before 0.25.16 does not escape values that its bundled HTML parser re-emits into element attributes when a non-default image delivery mode is enabled, allowing unauthenticated users to submit content that is stored and later executed as Cross-Site Scripting in the browser of any user viewing an affected page, including administrators.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WebP Express | < 0.25.16 | 0.25.16 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f44cb329-fb2e-4fb1-b878-8b52b0c769cc İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.