CVE-2026-8866

المكوّن الإضافي jQuery googleslides الخاص بـ WordPress للإصدارات الأقدم من 1.4

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر «googleslides». تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات داخل الدالة googleslides handler(). وعلى وجه التحديد، تقوم الدالة بإدراج السمات التي يزودها المستخدم — userid، وalbumid، وauthkey، وimgmax، وmaxresults، وrandom، وcaption، وalbumlink، وtime، وfadespeed — مباشرةً في سمات HTML الموضوعة بين علامتي اقتباس مفردة دون استخدام esc attr(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

تحديث المكون الإضافي jQuery googleslides لـ WordPress إلى الإصدار 1.4 أو أحدث.