CVE-2025-13535

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

المكوّن الإضافي «King Addons for Elementor» لـ WordPress حتى الإصدار 51.1.38 ضمناً

الوصف

المكوّن الإضافي «King Addons for Elementor» لـ WordPress معرض لعدة ثغرات أمنية من نوع «Contributor+ DOM-Based Stored Cross-Site Scripting». ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتشفير المخرجات عبر العديد من عناصر واجهة المستخدم والميزات. يستخدم المكون الإضافي دالتي esc attr() وesc url() ضمن معالجات الأحداث المضمنة في JavaScript (سمات onclick)، مما يسمح ب فك تشفير كيانات HTML بواسطة DOM، وبالتالي تمكين المهاجمين من الخروج من سياق JavaScript. تستخدم عدة ملفات JavaScript طرقًا غير آمنة لمعالجة DOM (القوالب الحرفية، و.html()، وwindow.location.href مع عناوين URL غير مصدقة) مع بيانات يتحكم فيها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية عبر إعدادات عناصر واجهة المستخدم في Elementor. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها أو عندما يقوم المسؤول بمعاينة الصفحة في محرر Elementor.

التوصيات

يجب تحديث الإصدارات حتى الإصدار 51.1.38 (بما في ذلك) إلى الإصدار 5.1.51 أو أحدث.