CVE-2024-12597

المكوّن الإضافي HT Mega – Absolute Addons For Elementor لـ WordPress، الإصدارات حتى 2.7.6، بما في ذلك

تتعلق المشكلة بثغرة «التنفيذ البرمجي عبر المواقع» المخزنة (Cross-Site Scripting) عبر المعلمات block css وinner css، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النص البرمجي فيها.

بالنسبة للإصدارات حتى 2.7.6، بما في ذلك هذا الإصدار، قم بالتحديث إلى الإصدار 2.7.7 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى المعلمتين block css وinner css لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، قم بتقييد الوصول على مستوى «المساهم» أو أعلى لمنع المهاجمين المصادق عليهم من إدخال نصوص برمجية ويب تعسفية.