CVE-2026-13295

إصدارات Page Builder من SiteOrigin الأقدم من 2.34.4

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المساهم“ (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. يحدث هذا لأن المعلمة panels data يتم تخزينها كبيانات تعريفية للمنشور (post meta)، متجاوزةً آلية wp kses الاحتياطية — وهي وظيفة في WordPress تُستخدم لتصفية HTML — مما يسمح بعرض محتوى WP Widget Custom HTML غير المُعقّم على الواجهة الأمامية عندما يصل المستخدم إلى الصفحة المتأثرة.

قم بتحديث Page Builder by SiteOrigin إلى الإصدار 2.34.4 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد المعلمة panels data أو حدّ من أذونات المستخدمين لمنع المستخدمين من مستوى «المساهم» من تحرير الصفحات.