WordPress, tüm sürümlerini etkileyen ve PHP kodu çalıştırma tehlikesi olan bir güvenlik açığını düzeltti. CVE-2026-64638 olarak tanımlanan bu açıklık, önceden kimlik doğrulaması gerekmeden reflected cross-site scripting (XSS) saldırısına izin veriyor.
Araştırmacılar, bu açığın bir yöneticinin saldırganın kontrolündeki bir sayfayla etkileşime girmesi durumunda PHP kodu çalıştırma tehlikesine neden olabileceğini keşfetti. Saldırganın bu açığı kullanması için özel bir yetkiye ihtiyacı yok.
WordPress, bu güvenlik açığını 7.0.3 sürümünde düzeltti ve tüm kullanıcıların hemen güncellemesini öneriyor. Eski sürümler de bu açıklık nedeniyle etkileniyor, ancak WordPress'in güncel backport aralığının dışında kalıyorlar.
Bu güvenlik açığı, pwn.ai tarafından keşfedildi ve The Hacker News ile paylaşıldı. Araştırmacılar, bu açığın autonomous sistemleri tarafından keşfedilebileceğini ve saldırganların bu açığı kullanarak PHP kodu çalıştırabileceğini belirttiler.
