CVE-2026-11402

كتلة قسم الخدمات – عرض تفاصيل الخدمة في شكل شبكة أو أعمدة، الإصدارات الأقدم من 1.4.5

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). ويتم ذلك عبر سمة الكتلة link، حيث يمكن حقن نصوص برمجية ويب تعسفية في الصفحات. تستمر الحمولة داخل تعليقات HTML في post content، متجاوزةً وظيفة التنقية wp kses post() أثناء عملية الحفظ. يتم تنفيذ البرنامج النصي من خلال رابط الخدمة الأساسي أو رابط ثانوي محاط بالعنوان عندما يتم تعيين الخيار linkIn على title.

قم بالتحديث إلى إصدار أحدث من 1.4.4.