PT-2026-33601
CVE-2026-2505
·
تاريخ النشر
2026-04-17
·
تاريخ التحديث
2026-04-19
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Categories Images» لـ WordPress للإصدارات الأقدم من 3.3.2
الوصف
يتعرض المكوّن الإضافي لثغرة «Stored Cross-Site Scripting» عبر الرمز المختصر «z taxonomy image». تحدث هذه المشكلة لأن مسار عرض الرمز المختصر يمرر مدخلات فئة يسيطر عليها المهاجم إلى أداة إنشاء الصور الاحتياطية التي تقوم بربط سمات HTML دون إجراء التهرب المناسب. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يتفاعل المستخدمون مع الصفحة الأمامية التي تم حقنها من خلال سمة الرمز المختصر
class.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.3.1.
كحل مؤقت، قم بتقييد استخدام السمة
class داخل الرمز المختصر ’z taxonomy image‘. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾