PT-2026-44172
CVE-2026-2374
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «Login No Captcha reCAPTCHA» الأقدم من 1.8.1
الوصف
يتعرض المكون الإضافي لثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Stored Cross-Site Scripting - XSS)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. تحدث هذه المشكلة لأن الدالة
authenticate() تقوم بتخزين الناتج غير المُعقّم للمتغير الفائق $ SERVER[’PHP SELF‘] في خيار WordPress login nocaptcha error أثناء محاولات تسجيل الدخول من صفحات غير قياسية، مثل ’xmlrpc.php‘. وبالتالي، تقوم الدالة admin notices() بإخراج هذه القيمة المخزنة في كود HTML للوحة تحكم المشرف دون إجراء عملية التهريب (escaping) المناسبة. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يقوم مشرف يمتلك عنوان IP مدرج في القائمة البيضاء بالوصول إلى لوحة التحكم في غضون 30 ثانية من وقوع الهجوم.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.8.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾