PT-2026-26713
CVE-2026-2430
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-21
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Autoptimize حتى الإصدار 3.1.14 ضمناً
الوصف
المكوّن الإضافي Autoptimize الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال معالجة الصور التي يتم تحميلها بشكل مؤجل. ويرجع السبب في ذلك إلى استخدام تعبير عادي مفرط التساهل في الدالة
add lazyload. يستبدل التعبير النمطي جميع مثيلات ssrc= في علامات الصور دون تقييد بالسمة الفعلية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. يمكن للمهاجمين تحقيق ذلك عن طريق إنشاء علامة صورة حيث يحتوي عنوان URL الخاص بـ src على مسافة متبوعة بـ src=، مما يكسر بنية HTML ويحول النص الموجود داخل قيم السمات إلى سمات HTML قابلة للتنفيذ.التوصيات
قم بتحديث Autoptimize إلى إصدار أحدث من 3.1.14.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾