PT-2026-134476
CVE-2026-116535
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SEOPress – AI SEO Plugin & On-site SEO plugin for WordPress الإصدارات السابقة لـ 10.4
الوصف
يسمح عدم كفاية تنقية المدخلات ومعالجة المخرجات للمهاجمين المصرح لهم الذين لديهم صلاحيات وصول بمستوى مشترك أو أعلى بتنفيذ هجوم Stored Cross-Site Scripting. يمكن للمهاجم حقن نصوص برمجية ويب تعسفية عن طريق تعيين المعلمة
display name كسلسلة نصية تحتوي على الرمز %%archive title%% جنبًا إلى جنب مع حمولات معالج أحداث HTML. نظرًا لأن WordPress يخزن أسماء العرض بدون تصفية HTML ويقوم المكون الإضافي باستبدال الرمز بعد إتمام عملية المعالجة، يتم تنفيذ النصوص البرمجية عندما يصل المستخدم إلى الصفحة المصابة.التوصيات
تحديث المكون الإضافي إلى الإصدار 10.4 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد قدرة المستخدمين الذين لديهم مستوى وصول مشترك على تعديل المعلمة
display name. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾