PT-2026-32091
CVE-2026-5217
·
تاريخ النشر
2026-04-10
·
تاريخ التحديث
2026-04-11
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Optimole – المكون الإضافي «Optimize Images» لـ WordPress حتى الإصدار 4.2.2
الوصف
المكوّن الإضافي Optimole – Optimize Images لـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Stored Cross-Site Scripting). ويرجع السبب في ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمعلمة
s (واصف srcset) داخل نقطة نهاية REST غير المصادق عليها /wp-json/optimole/v1/optimizations. تستخدم نقطة النهاية توقيع HMAC والتحقق من صحة الطابع الزمني، لكن هذه القيم مكشوفة في كود HTML الخاص بالواجهة الأمامية. يستخدم المكون الإضافي دالة sanitize text field() التي تزيل علامات HTML لكنها لا تقوم بتفادي علامات الاقتباس المزدوجة، ويتم تخزين الوصف المُلوث في المتغيرات المؤقتة وحقنه في سمة srcset دون تفادي مناسب.التوصيات
التحديث إلى إصدار أحدث من 4.2.2
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾