PT-2026-133689
CVE-2026-102918
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Redux Framework الإصدارات السابقة لـ 4.5.16
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عبر حقل
multi media لأن برنامج العرض يقوم بطباعة القيم المخزنة في سمة href، وقيمة إدخال مخفية، وعنصر HTML دون إجراء عملية الهروب (escaping) المناسبة. يتفاقم هذا الأمر بسبب دالة user meta save() في Redux Extension Users التي تتحقق من الأذونات باستخدام متغير checkuser id المأخوذ من جسم الطلب بدلاً من المستخدم الحالي. نتيجة لذلك، يمكن للمستخدمين بصلاحيات "مشترك" (Subscriber) تعديل الحقول المخصصة لأذونات manage options. يتيح ذلك للمهاجمين المصرح لهم حقن نصوص برمجية (scripts) تعسفية في سجلات ملفاتهم الشخصية، والتي يتم تنفيذها عندما يقوم المسؤول بعرض الملف الشخصي في لوحة التحكم. يتطلب هذا الخلل وجود قالب أو إضافة تقوم بتسجيل حقل multi media من خلال واجهة برمجة تطبيقات مستخدمي Redux.التوصيات
التحديث إلى الإصدار 4.5.16 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام حقل
multi media من خلال واجهة برمجة تطبيقات مستخدمي Redux. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾