CVE-2026-3896

إصدارات Livemesh SiteOrigin Widgets الأقدم من 3.9.3

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى lsow admin ajax، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية.

قم بتحديث Livemesh SiteOrigin Widgets إلى الإصدار 3.9.3 أو أحدث.