PT-2026-113603
CVE-2026-103422
·
تاريخ النشر
2026-10-13
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
AnyComment الإصدارات السابقة لـ 0.3.7
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عندما يقوم مهاجمون غير مصرح لهم بحقن برمجيات نصية ويب تعسفية من خلال المعلمة
email. ويرجع ذلك إلى عدم كفاية تنقية المدخلات في نقطة النهاية '/wp-json/anycomment/v1/subscribe' وغياب ترميز المخرجات في الدالة column default() ضمن AnyCommentSubscriptionsTable. يتم تنفيذ البرمجية النصية عندما يقوم المسؤول بزيارة صفحة إدارة اشتراكات AnyComment، وتحديداً عندما لا يتطابق user ID الخاص بالاشتراك مع مستخدم موجود.التوصيات
تحديث AnyComment إلى إصدار أحدث من 0.3.6.
تقييد الوصول إلى نقطة النهاية '/wp-json/anycomment/v1/subscribe' لتقليل مخاطر الحقن.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾