Smash Balloon Social Post Feed eklentisinde depolanmış siteler arası betik çalıştırma (XSS) açığı
- Yayınlandı:
Smash Balloon Social Post Feed eklentisinin 4.13.0 ve önceki sürümlerinde depolanmış siteler arası betik çalıştırma (XSS) açığı bildirildi. Kayıt CVE-2026-93756 numarasıyla 2 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi yüksek (CVSS 7,2).
Açık, sitede oturum açmamış kişiler tarafından istismar edilebilir. WordPress.org’daki güncel sürüm 4.14.0 (2 Ekim 2026 itibarıyla); kayda göre bu sürüm etkilenen aralığın dışında. Bu sürüme güncellemek açığı kapatır.
Özet bilgiler
- Eklenti
- Smash Balloon Social Post Feed
- Etkin kurulum (WordPress.org)
- 200.000+
- Etkilenen sürümler
- 4.13.0 ve öncesi
- Güncel sürüm (2 Ekim 2026)
- 4.14.0
- Önem derecesi
- Yüksek · CVSS 7,2
- Açık türü
- depolanmış siteler arası betik çalıştırma (XSS)
- Gereken yetki
- Gerekmez (oturum açmadan)
- CVE
- CVE-2026-93756
Açık türü: depolanmış siteler arası betik çalıştırma (XSS)
Saldırgan sayfaya kendi JavaScript kodunu yerleştirir ve kod, sayfayı açan başka kullanıcıların tarayıcısında çalışır. Betik bir yöneticinin oturumunda çalışırsa yeni yönetici hesabı açmak veya siteye kod eklemek için kullanılabilir.
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında Smash Balloon Social Post Feed eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Güncelleyin
Önce yedek alın, ardından Eklentiler › Kurulu eklentiler ekranındaki “Şimdi güncelle” bağlantısıyla güncelleyin.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
WordPress için geliştirilen “Smash Balloon Social Post Feed – Simple Social Feeds for WordPress” eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle, 4.13.0 sürümüne kadar (bu sürüm dahil) tüm sürümlerinde, Admin Builder Önizleme bölümündeki v-html aracılığıyla Facebook Yorum Mesajı yoluyla Depolanmış Siteler Arası Komut Ekleme (XSS) saldırısına açıktır. Bu durum, kimliği doğrulanmamış saldırganların, bir yönetici besleme oluşturucu önizleme sayfasına her eriştiğinde çalışacak rastgele web komut dosyalarını enjekte etmesine olanak tanır. Bu saldırı için, bağlı Facebook Sayfasına yorum yazmak üzere yalnızca bir Facebook hesabı gereklidir; WordPress kimlik bilgileri gerekmez; ayrıca, v-if yerine v-show kullanılması, yorum bölümü görsel olarak görüntülenmese bile, onerror işleyicileri de dahil olmak üzere enjekte edilen HTML'nin DOM'da değerlendirilmesine neden olur. Bu durum, cff_install_addon AJAX işleyicisinde (admin/addon-functions.php) URL doğrulama eksikliğiyle birleştiğinde, bir yöneticinin oturumunda çalışan enjekte edilmiş bir komut dosyası, saldırganın kontrolündeki bir URL'den rastgele eklenti yüklemesini tetikleyebilir ve bu da sunucu tarafında kod yürütülmesine yol açabilir.Özgün metin (İngilizce)
The Smash Balloon Social Post Feed – Simple Social Feeds for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Facebook Comment Message via v-html in Admin Builder Preview in all versions up to, and including, 4.13.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that will execute whenever an administrator accesses the feed builder preview page. This attack requires only a Facebook account to post a comment on the connected Facebook Page, with no WordPress credentials needed; additionally, the use of v-show rather than v-if means injected HTML — including onerror handlers — is evaluated in the DOM even when the comment section is not visually displayed. When combined with the lack of URL validation in the cff_install_addon AJAX handler (admin/addon-functions.php), an injected script running in an administrator's session can trigger arbitrary plugin installation from an attacker-controlled URL, which may result in server-side code execution.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 2 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.