PT-2026-42062
CVE-2026-6397
·
تاريخ النشر
2026-05-19
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Sticky الأقدم من 2.5.7
الوصف
يحتوي المكون الإضافي Sticky الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). يحدث هذا لأن الدالة
cvmh sticky front render() تفشل في تنقية المدخلات بشكل صحيح وتهرب المخرجات للسمة readmoretext داخل الرمز المختصر cvmh-sticky. على وجه التحديد، تتم معالجة قيمة السمة readmoretext عبر apply filters() ويتم ربطها في مخرجات HTML دون استخدام دوال التهرب مثل esc html(). ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم صفحة تحتوي على الرمز المختصر الخبيث.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.5.6.
كحل مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) على تحرير الصفحات أو استخدام الرمز المختصر
cvmh-sticky حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾