PT-2026-38903
CVE-2026-5341
·
تاريخ النشر
2026-05-07
·
تاريخ التحديث
2026-05-09
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي NMR Strava activities لـ WordPress للإصدارات الأقدم من 1.0.15
الوصف
يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات في السمات التي يزودها المستخدم في الرمز المختصر
strava nmr connect إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من حقن نصوص برمجية ويب تعسفية. يتم تنفيذ هذه البرامج النصية كلما قام مستخدم بالوصول إلى صفحة تحتوي على المحتوى الذي تم إدخاله. هذه مشكلة تتعلق بـ «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting)، حيث يتم تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.14.
كحل مؤقت، قم بتقييد استخدام الرمز المختصر
strava nmr connect على المستخدمين الموثوق بهم الذين يتمتعون بمستويات امتيازات أعلى. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾