WordPress User Registration & Membership eklentisi 5.2.8 ve öncesinde yetkisiz kısa kod çalıştırma açığı
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-92798
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, WordPress için User Registration & Membership eklentisinin 5.2.8 ve önceki sürümlerinde, 'referrer_url' işleme aşamasında yetersiz girdi temizliği nedeniyle yetkisiz kullanıcılar kısa kodları çalıştırabiliyor.
Ayrıntılar
NVD kaydına göre, WordPress User Registration & Membership eklentisinin 5.2.8 ve öncesi sürümlerinde, UR_Smart_Tags::process() fonksiyonunda 'referrer_url' dalında HTTP_REFERER başlığı yalnızca sanitize_text_field() ile temizleniyor. Bu temizlik WordPress kısa kod ayırıcılarını kaldırmadığından, {{referrer_url}} akıllı etiketi kullanılan içerik kısıtlama mesajına yerleştirildiğinde apply_shortcodes()/do_shortcode() aracılığıyla rastgele kayıtlı kısa kodların çalıştırılmasına izin veriliyor. Bu durum, kimlik doğrulaması yapılmamış saldırganların sınırlı sayfalarda istedikleri kısa kodları yürütmesine olanak tanıyor. Açığın ciddiyeti yüksek (CVSS 8.1) olarak değerlendirilmiştir.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayınlandığında en kısa sürede uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlı tutun.