PT-2026-36954
CVE-2026-5247
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-05-05
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Schedule Post Changes With PublishPress — الإصدارات المستقبلية السابقة للإصدار 4.10.1
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات الخاصة بالسمة
wrapper داخل الرمز المختصر [futureaction]. يستخدم المكون الإضافي دالة esc html()، التي تقوم بترميز كيانات HTML ولكنها تفشل في منع حقن السمة عندما تُستخدم القيمة كاسم علامة HTML في استدعاء sprintf(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المسؤول، أو المساهمين إذا مُنحوا الإذن، بحقن سمات معالج الأحداث عبر المسافات الموجودة في قيمة wrapper. ونتيجة لذلك، يمكن حقن نصوص برمجية ويب تعسفية في الصفحات وتنفيذها عندما يصل المستخدم إليها.التوصيات
قم بالتحديث إلى إصدار أحدث من 4.10.0.
كحل مؤقت، قم بتقييد استخدام السمة
wrapper في الرمز المختصر [futureaction] على المسؤولين الموثوق بهم فقط.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾