CVE-2026-4655

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

المكوّن الإضافي «Element Pack Addons for Elementor» لـ WordPress حتى الإصدار 8.4.2 بما في ذلك

الوصف

المكوّن الإضافي «Element Pack Addons for Elementor» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال أداة عرض الصور SVG. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتشفير المخرجات لمحتوى SVG الذي يتم استرداده من عناوين URL البعيدة ضمن الدالة render svg(). تستخدم الدالة wp safe remote get() لجلب محتوى SVG ثم تقوم بعرضه مباشرةً دون تنقية مناسبة، حيث تكتفي بتطبيق دالة preg replace() لتعديل علامة SVG، وهو ما لا يزيل معالجات الأحداث الخبيثة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن جافا سكريبت تعسفي في ملفات SVG، والتي سيتم تنفيذها عندما يقوم المستخدم بعرض صفحة تحتوي على عنصر واجهة المستخدم المخترق.

التوصيات

بالنسبة للإصدارات حتى الإصدار 8.4.2 ضمناً، قم بالتحديث إلى إصدار أحدث يعالج هذه المشكلة. كحل مؤقت، تجنب استخدام أداة الصور SVG مع عناوين URL البعيدة.