CVE-2026-4334

إصدارات Shariff Wrapper الأقدم من 4.6.21

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). توجد المشكلة في المعلمة headline الخاصة بالرمز المختصر [shariff]. وتحدث هذه المشكلة لأن المكون الإضافي يستخدم تطبيقًا مخصصًا لـ wp kses مع علامات HTML متساهلة، ثم يقوم بعد ذلك بتنفيذ عملية str replace التي تُدخل HTML بعد التنقية. تسمح هذه السلسلة بإدخال معالجات الأحداث من خلال العنصر النائب %total في سمة النمط، مما يتيح تنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم صفحة متأثرة.

قم بتحديث Shariff Wrapper إلى الإصدار 4.6.21 أو أحدث.

تجنب استخدام المعلمة headline في الرمز المختصر [shariff] حتى يتم تطبيق التحديث.