PT-2026-44759
CVE-2026-9243
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Plus Addons for Elementor السابقة للإصدار 6.4.16
الوصف
يتعرض المكون الإضافي لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. توجد هذه المشكلة في عنصر واجهة المستخدم «Carousel Anything» بسبب عدم كفاية عملية التهرب من الإخراج داخل الدالة
render(). وعلى وجه التحديد، يتم وضع المعلمة carousel direction في سمة HTML غير محاطة بعلامات اقتباس (dir=)، مما يسمح بحقن السمات حتى عند استخدام الدالة esc attr(). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها.التوصيات
قم بالتحديث إلى إصدار أحدث من 6.4.15.
كحل مؤقت، قم بتقييد الوصول إلى عنصر واجهة المستخدم Carousel Anything أو تجنب استخدام المعلمة
carousel direction حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾