PT-2025-1776
CVE-2024-12203
·
تاريخ النشر
2025-01-16
·
تاريخ التحديث
2025-01-17
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي RSS Icon Widget لـ WordPress، الإصدارات حتى 5.2، بما في ذلك
الوصف
تتعلق المشكلة بثغرة «التنفيذ البرمجي عبر المواقع» المخزنة (Cross-Site Scripting Armazenado) عبر المعلمة
link color، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى إحدى الصفحات التي تم حقنها. تؤثر هذه المشكلة فقط على التثبيتات متعددة المواقع (multisite) والتثبيتات التي تم فيها تعطيل المعلمة unfiltered html.التوصيات
بالنسبة للإصدارات حتى 5.2، بما في ذلك هذا الإصدار، يُنصح بتعطيل المعلمة
link color حتى يتوفر تصحيح لمنع الاستغلال. قم بتقييد الوصول إلى وظائف المكون الإضافي لتقليل مخاطر حقن نصوص برمجية ويب تعسفية. قم بالتحديث إلى إصدار يتضمن التصحيحات اللازمة لتنقية المدخلات وتهريب المخرجات عند توفرها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾