PT-2026-139201
CVE-2026-118204
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps الإصدارات السابقة لـ 5.5.90
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى إمكانية قيام المهاجمين المصرح لهم، والذين يمتلكون صلاحيات وصول بمستوى مشترك أو أعلى، بتنفيذ هجوم Stored Cross-Site Scripting (XSS). يحدث هذا عبر المعلمة
ImageURL column value (populated from wp usermeta.description in the demonstrated path). يمكن للمهاجم حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المحقونة. يتطلب الاستغلال أن يكون المسؤول قد نشر shortcode DataTables على عمود في قاعدة البيانات يتحكم فيه المهاجم، مثل wp usermeta.description مع تعيين نوع وسائط Image URL لهذا العمود.التوصيات
تحديث WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps إلى الإصدار 5.5.90 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾