PT-2026-130632
CVE-2026-93293
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Password Protected الإصدارات السابقة لـ 2.8.5
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عبر معالج إكمال الشراء الخاص بـ Freemius SDK المدمج بسبب عدم كفاية تنقية المدخلات ومعالجة المخرجات. عندما يكون خيار الاشتراك في Freemius نشطًا، يقوم المعالج بمعالجة معامل الطلب
purchased plan في أي طلب wp-admin من مستخدم مصادق عليه دون الحاجة إلى صلاحيات محددة أو nonces أو التحقق من عملية الشراء. يتم تخزين المدخلات في إشعار إداري دائم على مستوى الموقع، مما يسمح للمهاجمين المصادق عليهم الذين لديهم مستوى وصول مشترك أو أعلى بحقن نصوص برمجية ويب عشوائية. يتم تنفيذ هذه النصوص تلقائيًا عندما يعرض المسؤول صفحة إدارة قياسية، مثل صفحة الملف الشخصي.التوصيات
تحديث Password Protected إلى الإصدار 2.8.5 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾