CVE-2026-8894

إصدارات iWR Tooltip الأقدم من 1.1

يحتوي المكون الإضافي على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) داخل الرمز المختصر iwrtooltip. تفشل الدالة iwr tooltip() في تنقية المدخلات بشكل صحيح وتهريب المخرجات للسمات التي يزودها المستخدم. على وجه التحديد، يتم ربط السمة title مباشرةً بسمة HTML دون استخدام esc attr() أو طرق تهريب أخرى. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

تحديث المكون الإضافي إلى إصدار أحدث من 1.0.

كإجراء تخفيفي مؤقت، تقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تعديل الصفحات أو استخدام الرمز المختصر iwrtooltip.