CVE-2026-4081

المكوّن الإضافي ZeM STL لـ WordPress للإصدارات الأقدم من 1.1

يمكن حدوث هجوم «التنفيذ البرمجي عبر المواقع» المخزّن (Stored Cross-Site Scripting) عبر الرمز المختصر [zemstl] بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات للسمات التي يزودها المستخدم. وعلى وجه التحديد، يتم إدراج المعلمات url وcolor وbgcolor في سياقات سمات HTML دون معالجتها بواسطة esc attr() أو وظائف التهرب المماثلة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.

كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى «المساهم» على استخدام الرمز المختصر [zemstl] أو تعديل المعلمات url وcolor وbgcolor.