PT-2025-16102
CVE-2025-2541
·
تاريخ النشر
2025-04-10
·
تاريخ التحديث
2025-05-06
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
المكوّن الإضافي WP Project Manager لـ WordPress حتى الإصدار 2.6.22 بما في ذلك
الوصف:
تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن عبر تحميل ملفات SVG، وينجم ذلك عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يقوم المستخدم بالوصول إلى ملف SVG.
التوصيات:
بالنسبة لمكوّن WP Project Manager الإضافي لـ WordPress حتى الإصدار 2.6.22 بما في ذلك، قم بالتحديث إلى إصدار أعلى من 2.6.22 لحل المشكلة. كإجراء تجنبي مؤقت، يُنصح بتقييد الوصول إلى تحميل ملفات SVG على المستخدمين الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى، إلى أن يتوفر تصحيح. تجنب استخدام المكون الإضافي WP Project Manager لـ WordPress في الإصدارات حتى الإصدار 2.6.22 (بما في ذلك) لتحميل ملفات SVG حتى يتم حل المشكلة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾