PT-2026-26720
CVE-2026-3516
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-21
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Contact List» لـ WordPress للإصدارات الأقدم من 3.0.19
الوصف
المكوّن الإضافي «Contact List» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال المعلمة
cl map iframe. ويؤدي عدم كفاية عملية تنقية المدخلات وتطهير المخرجات عند معالجة الحقل المخصص لإطار iframe الخاص بـ Google Maps إلى السماح بحقن نصوص برمجية ضارة. تقوم الدالة saveCustomFields() الموجودة في ملف class-contact-list-custom-fields.php باستخراج علامات iframe باستخدام تعبير عادي، لكنها تفشل في التحقق من صحة سمات iframe أو تنقيتها، مما يتيح إدراج معالجات الأحداث مثل ’onload‘. يتم تخزين كود HTML المستخرج لإطار iframe باستخدام الدالة update post meta()، ثم يتم عرضه لاحقًا على الواجهة الأمامية في ملف class-cl-public-card.php دون إجراء التهرب أو التصفية المناسبة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.التوصيات
قم بتحديث المكون الإضافي «Contact List» إلى الإصدار 3.0.19 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾