PT-2026-134445
CVE-2026-111109
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة Webmention لـ WordPress الإصدارات السابقة لـ 5.10.2
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عبر علامة ميتا Open Graph
og:title لرابط مصدر webmention. ينبع المشكلة من عدم كفاية تنقية المدخلات حيث يقوم Meta::add properties() بربط og:title بخاصية Item::name. ونظرًا لأن Item يفتقر إلى طريقة set name() ملموسة، فإن Item:: call() تخزن القيمة خام، على عكس set content() أو set summary() التي تمر عبر webmention sanitize html(). عندما يكون المحتوى والملخص فارغين، تعود Item::get content() إلى الاسم الخام. علاوة على ذلك، يقوم Receiver::process() بإزالة خطافات wp filter kses و wp filter post kses في pre comment content قبل استدعاء wp new comment()، مما يسمح بحفظ الحمولة في comment content. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يصل المستخدم إلى الصفحة، بشرط أن يقوم المسؤول بالموافقة على تعليق webmention المعلق.التوصيات
تحديث إضافة Webmention لـ WordPress إلى الإصدار 5.10.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾