PT-2026-146593
CVE-2026-125948
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Recipe Card Blocks Lite الإصدارات السابقة لـ 3.7.1
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى السماح للمهاجمين المصرح لهم الذين لديهم صلاحيات وصول بمستوى مساهم أو أعلى بتنفيذ هجوم Stored Cross-Site Scripting. من خلال تضمين حمولات معالجة الأحداث داخل المعلمة
steps[].text ، يمكن للمهاجم حقن نصوص برمجية ويب تعسفية في الصفحات. يحدث هذا لأن الدالة wp kses post() تحافظ على تعليقات HTML المحددة للكتل كما هي أثناء عملية الحفظ، مما يسمح بتنفيذ الحمولة لأي زائر، بما في ذلك المسؤولون والمحررون الذين يعاينون المنشور أو ينشرونه، وكذلك من خلال نقطة نهاية الطباعة العامة.التوصيات
التحديث إلى إصدار أحدث من 3.7.0.
تجنب استخدام المعلمة
steps[].text للمدخلات غير الموثوقة حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾