PT-2026-127778
CVE-2026-107625
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin الإصدارات السابقة لـ 2.14.1
الوصف
يسمح عدم كفاية تنقية المدخلات ومعالجة المخرجات للمهاجمين المصرح لهم الذين لديهم مستوى وصول مشترك أو أعلى بتنفيذ هجوم Stored Cross-Site Scripting (XSS). يحدث هذا عبر المعلمة
user url مما يتيح حقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص عندما يزور المستخدم الصفحة المتأثرة، وتحديداً عند النقر على رابط URL الخاص بموقع المهاجم في ملفه الشخصي العام. يتم تسهيل ذلك من خلال معالج onclick لتأكيد إعادة التوجيه، والذي يكون مفعلاً افتراضياً في جميع التثبيتات الجديدة.التوصيات
التحديث إلى إصدار أحدث من 2.14.0.
تقييد استخدام المعلمة
user url في ملفات تعريف المستخدمين حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾