CVE-2026-13246

GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات، الإصدارات الأقدم من 4.16.1

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات للسمات التي يزودها المستخدم ضمن الرمز المختصر givewp campaign comments. وعلى وجه التحديد، تتم معالجة السمة block id والسمات الأخرى في الدالتين CampaignCommentsShortcode::parseAttributes() وBlockRenderController::render()، حيث يتم إدراج قيمة blockId مباشرةً في سمة HTML محاطة بعلامتي اقتباس مفردة دون استخدام الدالة esc attr(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المؤلف أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها.

قم بتحديث GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات إلى الإصدار 4.16.1 أو أحدث.