PT-2026-26859
CVE-2026-3554
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-31
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Sherk Custom Post Type Displays» لـ WordPress حتى الإصدار 1.2.1 ضمناً
الوصف
المكوّن الإضافي «Sherk Custom Post Type Displays» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال سمة الرمز القصير «title». ويعود السبب في ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمة «title» للرمز القصير «sherkcptdisplays». تقوم الدالة
sherkcptdisplays func() الموجودة في الملف includes/SherkCPTDisplaysShortcode.php باستخراج قيمة السمة «title» من الدالة shortcode atts() في السطر 19، ثم تدمجها مباشرةً في علامة HTML في السطر 31 دون إجراء عملية تهريب مناسبة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.
التوصيات
يجب تحديث الإصدارات السابقة للإصدار 1.2.1، بما في ذلك هذا الإصدار، إلى إصدار أحدث تم إصلاحه، إن كان متاحًا.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾