PT-2026-113636 · WordPress · Newstatpress
CVSS v3.1
7.2
عالية
| المتجه | AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
NewStatPress الإصدارات السابقة لـ 1.4.6
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عبر مربع البيانات الوصفية 'Last referrers' في صفحة إدارة نظرة عامة (Overview) الخاصة بالإضافة. تنشأ المشكلة لأن الدالة
newstatpress generate overview lastreferrers() تفشل في تهريب سلسلة الاستعلام التي يوفرها الزائر والمخزنة في جدول الإحصائيات بشكل صحيح. وتحديداً، يتم دمج المتغير urlrequested في سمة href محاطة بعلامات اقتباس مفردة باستخدام FILTER SANITIZE URL فقط، والذي لا يقوم بترميز الفاصلة العليا. يتيح ذلك للمهاجمين غير المصرح لهم حقن برامج نصية ويب عشوائية يتم تنفيذها عندما يقوم مستخدم ذو صلاحيات عالية، مثل المسؤول، بالدخول إلى صفحة نظرة عامة وتمرير مؤشر الماوس فوق الرابط المحقون.التوصيات
التحديث إلى إصدار أحدث من 1.4.5.
كإجراء مؤقت، قم بتقييد الوصول إلى صفحة إدارة نظرة عامة (Overview) لتقليل مخاطر الاستغلال.
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Newstatpress