PT-2026-44198
CVE-2026-6427
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات a3 Lazy Load الأقدم من 2.7.7
الوصف
يحتوي المكون الإضافي على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن خطأ في التعبير النمطي (regex) في الدالة
filter videos() ومخرجات غير مُعلمة في القالب admin/views/form-data.php. يمكن لمهاجم معتمد يتمتع بحق الوصول على مستوى «المساهم» (Contributor) إدراج علامة <video> مصممة خصيصًا تحتوي على سمة src تتضمن سلسلة فرعية class=". يؤدي ذلك إلى خداع التعبير النمطي لاستبدال الفئة (class-replacement regex) ليستهلك علامة الاقتباس الختامية لقيمة السمة، مما يؤدي إلى تغيير حدود علامات الاقتباس في محلل HTML5 ويسمح بتنفيذ النص الذي يتحكم فيه المهاجم كسمات مستقلة لمعالج الأحداث، مثل autofocus وonfocus. ثم يتم تنفيذ البرنامج النصي المُدرج في متصفح أي مستخدم، بما في ذلك المسؤولون، الذين يشاهدون المنشور.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.7.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾