CVE-2026-9714

إصدارات Simple Divi Shortcode الأقدم من 1.3

يحتوي المكون الإضافي Simple Divi Shortcode الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). وتحدث هذه الثغرة لأن الدالة showmodule shortcode() تفشل في تنقية المدخلات بشكل صحيح وتهرب المخرجات عند معالجة المعلمة id الخاصة بالرمز المختصر [showmodule]. يتم ربط السمة id مباشرةً بسلسلة الرمز القصير التي يتم إنشاؤها ديناميكيًا دون استخدام esc attr() أو طرق التهرب الأخرى، مما يسمح للمهاجم بكسر سياق السمة وحقن كود HTML تعسفي. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 1.2.

كحل مؤقت، قم بتقييد استخدام المعلمة id داخل الرمز المختصر [showmodule] أو قم بتحديد أذونات المستخدمين لمنع المساهمين من تحرير الصفحات التي تحتوي على هذا الرمز المختصر.