CVE-2026-2030

إضافات WPBakery Page Builder من Livemesh، الإصدارات الأقدم من 3.9.5

تحدث ثغرة ”Stored Cross-Site Scripting“ (تخزين البرمجة النصية عبر المواقع) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. يتم ترميز سمات الرموز المختصرة لـ [lvca carousel] و[lvca posts carousel] باستخدام wp json encode() ووضعها في سمات HTML data-settings بين علامتي اقتباس مفردة دون استخدام esc attr(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بإدخال علامات الاقتباس المفردة للخروج من السمة وتنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 3.9.4.