PT-2026-134473
CVE-2026-111070
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة The Content Pilot – Autoblogging & Affiliate Marketing Suite الإصدارات السابقة لـ 2.2.5
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة عندما تقوم الإضافة باستخراج أوصاف meta HTML من المقالات التي يتم جلبها عن بُعد باستخدام الدالة
parse meta() في WPCP Readability. يتم معالجة هذه القيمة من خلال استبدال قالب المقال و html entity decode() في WPCP Module::insert post()، ثم يتم حفظها عبر wp insert post(). نظرًا لأن العملية تقوم بتغيير المستخدم الحالي إلى مؤلف حملة يمتلك صلاحيات unfiltered html ، يتم تجاوز عملية التطهير wp kses post. يمكن للمهاجمين غير المصرح لهم الذين يتحكمون في محتوى مصدر RSS المستخدم في حملة ما حقن برمجيات ويب عشوائية يتم تنفيذها عندما يقوم المستخدم بزيارة الصفحة المتأثرة.التوصيات
تحديث الإضافة إلى إصدار أحدث من 2.2.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾