PT-2025-12853
CVE-2025-2576
·
تاريخ النشر
2025-03-25
·
تاريخ التحديث
2025-03-26
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
The Ayyash Studio — المكون الإضافي «The kick-start kit» لـ WordPress، الإصدارات حتى الإصدار 1.0.3 بما في ذلك
الوصف
تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المخزّن عبر تحميل ملفات SVG، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» (Author) أو أعلى، بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى ملف SVG.
التوصيات
بالنسبة للإصدارات حتى الإصدار 1.0.3 ضمناً، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات لمنع ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Cross-Site Scripting Armazenado) عبر تحميل ملفات SVG. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى تحميل ملفات SVG على المستخدمين الذين يتمتعون بحقوق وصول على مستوى «المؤلف» (Autor) أو أعلى حتى يتوفر تصحيح لهذه المشكلة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾