CVE-2026-8898

إصدارات «Events In City» الأقدم من 3.1

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر «org-events». تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات داخل الدالة org event scode(). وعلى وجه التحديد، يتم ربط السمات التي يزودها المستخدم، بما في ذلك organizer id وwidth وheight وtransparency وheader وborder وlayout، مباشرةً بسمات HTML دون استخدام esc attr(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 3.0.

كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تحرير الصفحات أو استخدام الرمز المختصر «org-events».