CVE-2026-4665

إصدارات WP Carousel Free الأقدم من 2.7.11

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عندما يقرأ البرنامج النصي fancybox-config.js سمة id لحاوية الكاروسيل مباشرةً من DOM لإنشاء محدد jQuery دون تعقيم. إذا قام مستخدم يتمتع بحق وصول على مستوى «المساهم» (Contributor) أو أعلى بإنشاء كتلة HTML تحتوي على معرّف حاوية الكاروسيل غير صحيح، فإن التهيئة المخصصة تفشل، مما يتسبب في قيام مكتبة fancybox المدمجة (الإصدار 3.5.7) بعرض السمة data-caption ككود HTML خام. وهذا يسمح للمهاجمين المصادق عليهم بحقهم بإدخال نصوص برمجية ويب تعسفية يتم تنفيذها عندما ينقر المستخدم على صورة في نافذة عرض الكاروسيل المصممة خصيصًا.

قم بالتحديث إلى إصدار أحدث من 2.7.10.