PT-2026-146592
CVE-2026-125409
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Passster – Password Protect Pages and Content الإصدارات السابقة لـ 4.3.22
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى السماح للمهاجمين المصرح لهم، ممن لديهم صلاحيات وصول بمستوى مساهم (contributor) أو أعلى، بتنفيذ هجوم Stored Cross-Site Scripting. من خلال إدراج رمز
] في المعلمة metavalue (تحديداً عندما يكون metakeyinput هو passster id أو passster headline)، يمكن للمهاجم إغلاق علامة shortcode الافتتاحية مبكراً وإلحاق علامة إغلاق [/passster]. يتسبب ذلك في إرسال حمولة HTML المتبقية حرفياً بواسطة دالة do shortcode()، متجاوزاً عملية الهروب الموجودة في render shortcode(). يتم تنفيذ السكريبت المحقون عندما يصل أي مستخدم إلى الصفحة، بما في ذلك المحررون أو المسؤولون عند معاينة منشور معلق، لأن filter the content() تفتقر إلى بوابة صلاحيات تحرير.التوصيات
التحديث إلى الإصدار 4.3.22 أو أحدث.
تقييد استخدام المعلمة
metavalue للمستخدمين الذين لديهم مستوى وصول مساهم حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾