PT-2026-127865
CVE-2026-109972
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
s2Member الإصدارات السابقة لـ 261012
الوصف
يسمح عدم كفاية تنقية المدخلات ومعالجة المخرجات للمهاجمين المصرح لهم الذين لديهم صلاحيات وصول بمستوى مساهم أو أعلى بتنفيذ هجوم Stored Cross-Site Scripting. من خلال التلاعب بالمعلمة
date format يمكن للمهاجم حقن نصوص برمجية ويب تعسفية في الصفحات. يتجاوز الهجوم دالة wp kses post() أثناء عملية الحفظ باستخدام تسلسلات هروب مائلة بدلاً من الأقواس الزاوية الصريحة. يتم تحويل هذه التسلسلات لاحقاً إلى رموز وسوم HTML بواسطة دالة date() في لغة PHP بعد أن تقوم دالة shortcode parse atts() بتطبيق stripcslashes() على قيمة السمة.التوصيات
تحديث s2Member إلى إصدار أحدث من 261011.
تجنب استخدام المعلمة
date format في الأكواد القصيرة (shortcodes) حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾