Siteler arası betik (XSS)
Son 12 ayda yayımlanan WordPress kayıtlarının 2.222 tanesi (%32) bu türden. Bunların 785 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 1
- Yüksek 503
- Orta 1.690
- Düşük 28
Ne demek
Eklenti, kullanıcıdan gelen bir metni (form alanı, kısa kod özelliği, adres satırındaki parametre) temizlemeden sayfaya basıyor. Saldırgan bu alana JavaScript kodu yerleştirir; sayfayı açan herkesin tarayıcısı bu kodu sitenin kendi kodu sanıp çalıştırır.
Ne kadar tehlikeli
Kalıcı (stored) türde kod veritabanına yazılır ve sayfayı her açanı etkiler. Kod bir yöneticinin tarayıcısında çalışırsa, o yöneticinin oturumuyla yeni yönetici hesabı açmak ya da eklenti dosyası düzenlemek mümkün olabilir. Yansıtılan (reflected) türde ise kurbanın hazırlanmış bir bağlantıya tıklaması gerekir; bu yüzden puanı genellikle daha düşüktür.
Bu türdeki kayıtların ortanca CVSS puanı 6,4; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 122 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Kayıtta “katkıcı ya da üstü” yazıyorsa, sitenizde kimin yazı yazabildiğine bakın. Tek yazarlı bir blogda risk düşer, çok yazarlı sitelerde ve üyelikle içerik eklenebilen sitelerde artar. Düzeltilmiş sürüme güncellemek tek gerçek çözümdür.
Geliştirici tarafı
WordPress, çıktıyı bağlama göre kaçırmak için esc_html, esc_attr, esc_url ve wp_kses gibi işlevler sunar. Bu kayıtların çoğu, bir kısa kod özelliğinin esc_attr olmadan HTML özniteliğine yazılmasından doğuyor.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-79 (2205), CWE-80 (16), CWE-87 (1).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 660 kayıt çıktı, ondan önceki üç ayda 402. Kayıtların 43 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| Bold Page BuilderEklenti | 15 | 15 |
| GeoDirectoryEklenti | 13 | 28 |
| Download ManagerEklenti | 12 | 21 |
| Gravity FormsEklenti | 11 | 18 |
| User Profile BuilderEklenti | 11 | 20 |
| Royal Addons for ElementorEklenti | 10 | 26 |
| LearnPressEklenti | 10 | 37 |
| Mang BoardEklenti | 9 | 12 |
| Ultimate MemberEklenti | 9 | 19 |
| Ninja FormsEklenti | 8 | 29 |
En yeni 15 kayıt
- 6,4Orta
BuddyBoss Platform
31 Ekim 2026 XSS Eklenti Abone hesabı 3.6.0 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 3.6.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,1Orta
Product Filter for WooCommerce by WBW
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 3.4.6 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.4.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
Debug Log Manager
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 2.5.2 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.5.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
WP Activity Log
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 5.6.1 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.6.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,4Orta
W3 Total Cache
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 2.10.7 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.10.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
User Submitted Posts
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 20260916 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 20260916 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,4Orta
Smart Post
31 Ekim 2026 XSS Eklenti Abone hesabı 4.0.9 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 4.0.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
ThirstyAffiliates
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 3.12.1 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.12.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
Shipping Zones by Drawing for WooCommerce
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor Düzeltme 3.3.1Siteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.0 ve önceki sürümler etkileniyor, düzeltme 3.3.1 sürümünde.
- 7,2Yüksek
Welcart e-Commerce
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 2.12.5 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.12.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
Shield Security
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor Düzeltme 22.3.4Siteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 22.3.2 ve önceki sürümler etkileniyor, düzeltme 22.3.4 sürümünde.
- 6,4Orta
GeoDirectory
31 Ekim 2026 XSS Eklenti Abone hesabı 2.8.197 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.8.197 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,4Orta
Photo Gallery, Sliders, Proofing and Themes
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 4.5.4 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.5.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
VikRentCar Car Rental Management System
31 Ekim 2026 XSS Eklenti Giriş gerekmiyor 1.4.10 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.4.10 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,4Orta
WP Job Portal
31 Ekim 2026 XSS Eklenti Abone hesabı 2.7.0 ve öncesiSiteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.7.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.