PT-2026-134424
CVE-2026-116520
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
PPWP – Password Protect Pages الإصدارات السابقة لـ 1.9.27
الوصف
يسمح عدم كفاية تنقية المدخلات ومعالجة المخرجات للمهاجمين غير المصرح لهم بتنفيذ هجوم Stored Cross-Site Scripting. يتم ذلك عبر المعلمة
desc below form في التعليقات أو سمات shortcode، باستخدام placeholder كمساعد في عملية marker-smuggling. يمكن للمهاجمين حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عند وصول المستخدمين إليها. تزداد خطورة هذه المشكلة بسبب مرشح comment content في WordPress، الذي يترك نصوص shortcode المجردة التي لا تحتوي على وسوم HTML دون تعديل، وإعداد comment whitelist الذي قد يوافق تلقائيًا على التعليقات من هويات تم التحقق منها مسبقًا.التوصيات
تحديث إضافة PPWP – Password Protect Pages إلى الإصدار 1.9.27 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾