CVE-2025-1491

المكوّن الإضافي WP Posts Carousel لـ WordPress حتى الإصدار 1.3.7 بما في ذلك

تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات عبر المعلمة auto play timeout. وسيتم تنفيذ النصوص البرمجية المحقونة كلما قام مستخدم بالوصول إلى صفحة تم حقنها.

بالنسبة للمكوّن الإضافي WP Posts Carousel لـ WordPress حتى الإصدار 1.3.7 بما في ذلك، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى المعلمة auto play timeout لمنع الاستغلال.