CVE-2025-21612

إصدارات TabberNeue الأقدم من 2.7.2

تنشأ المشكلة بسبب استخدام مدخلات المستخدم غير المُعالجة في بناء HTML، مما يسمح لأي مستخدم قادر على تحرير الصفحات أو عرض نص ويكي بتنفيذ هجمات البرمجة النصية عبر المواقع (XSS) ضد مستخدمين آخرين. على وجه التحديد، في ملف TabberTransclude.php، لا يتم معالجة اسم الصفحة الذي يقدمه المستخدم أثناء الإخراج، مما يسمح باستخدام حمولة XSS كاسم للصفحة. يمكن استغلال هذه الثغرة الأمنية عند عرض نص ويكي ضار، مما قد يسمح للمهاجم بخداع الضحايا للنقر على روابط تؤدي إلى Special:ExpandTemplates تحتوي على نص ويكي ضار في المعلمة wpInput.

بالنسبة للإصدارات الأقدم من 2.7.2، قم بالتحديث إلى الإصدار 2.7.2 لإصلاح هذه الثغرة الأمنية. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى المكون TabberTransclude.php لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، تجنب استخدام مدخلات المستخدم غير المُعالجة في المعلمة wpInput حتى يتم حل المشكلة.