PT-2026-139432
CVE-2026-118050
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة Football Pool لـ WordPress الإصدارات السابقة لـ 2.13.6
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى إمكانية قيام المهاجمين المصرح لهم، ممن لديهم صلاحيات وصول بمستوى مشترك أو أعلى، بتنفيذ هجوم Stored Cross-Site Scripting. من خلال التلاعب بالمعلمة
shouttext ، يمكن للمهاجم حقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يصل المستخدم إلى عرض التحرير (Edit view) للمسؤول الخاص بـ shout. وبينما يستخدم عنصر Shoutbox العام وعرض القائمة للمسؤول دالة Football Pool Utils::xssafe() لترميز المخرجات، يظل عرض التحرير للمسؤول هو المصب الوحيد غير المعالج.التوصيات
تحديث الإضافة إلى الإصدار 2.13.6 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى عرض التحرير للمسؤول الخاص بـ shouts للمسؤولين الموثوقين فقط.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾