PT-2026-48818
CVE-2026-9125
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-08-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Presto Player الأقدم من 4.2.1
الوصف
يحتوي المكون الإضافي Presto Player الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). تفشل الدالة
getOverlays() في تنقية المدخلات وتهريب المخرجات بشكل صحيح، مما يسمح بنسخ المعلمة link url الخاصة بالرمز المختصر [presto player overlay] مباشرةً إلى تكوين التراكب دون التحقق من صحة المخطط. وهذا يسمح بعرض عناوين URI التي تبدأ بـ javascript: كعنوان href لعنصر ربط قابل للنقر من قبل مكون الويب presto-dynamic-overlay-ui. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.التوصيات
قم بالتحديث إلى إصدار أحدث من 4.2.0.
كحل مؤقت، قم بتقييد استخدام المعلمة
link url داخل الرمز المختصر [presto player overlay]. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾