PT-2026-139199
CVE-2026-116621
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin الإصدارات السابقة لـ 2.14.2
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى السماح للمهاجمين المصرح لهم، والذين يمتلكون صلاحيات وصول بمستوى مشترك أو أعلى، بتنفيذ هجوم Stored Cross-Site Scripting. يحدث هذا عبر المعلمة
pm note (أو أي مفتاح ميتا Textarea مخصص مع تعطيل HTML)، مما يتيح حقن برمجيات ويب عشوائية. يتطلب الاستغلال الناجح أن يقوم مستخدم ذو صلاحيات بالنقر على رابط أنكر قام المهاجم بإنشائه في صفحة الملف الشخصي المستهدفة، مما يؤدي إلى تفعيل DOM gadget يقوم بدمج قيمة data-src غير المعالجة في سلسلة HTML يتم تمريرها إلى jQuery.التوصيات
تحديث المكون الإضافي إلى الإصدار 2.14.2 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾