PT-2026-42723
CVE-2026-3481
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WP Blockade السابقة للإصدار 0.9.15
الوصف
يتعرض المكون الإضافي لـ ”Reflected Cross-Site Scripting“، وهو عيب يتمثل في قيام التطبيق بتضمين بيانات غير موثوق بها في صفحة ويب دون التحقق منها بشكل صحيح، مما يسمح للمهاجمين بتنفيذ البرامج النصية في متصفح الضحية. توجد المشكلة في الدالة
render shortcode preview()، التي تعالج المعلمة shortcode من طلب $ GET. تستخدم الدالة stripslashes()، لكنها تفشل في إجراء التنقية الكافية للمدخلات أو التهرب من المخرجات قبل تمرير البيانات إلى do shortcode(). إذا لم تكن المدخلات عبارة عن رمز قصير صالح في WordPress، يتم عرضها مباشرةً في الصفحة. يتطلب ذلك أن يكون المهاجم معتمدًا بحساب على مستوى «مشترك» على الأقل، حيث إن نقطة النهاية مسجلة عبر admin post وتفتقر إلى التحقق من الرقم العشوائي (nonce) أو فحوصات الصلاحيات.التوصيات
قم بالتحديث إلى إصدار أحدث من 0.9.14.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
render shortcode preview() أو تجنب استخدام المعلمة shortcode حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾