CVE-2026-12732

إصدارات LearnPress الأقدم من 4.4.1

تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Stored Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات في الدالة FilterCourseTemplate::sections(). يمكن لمهاجم تمت مصادقته ولديه صلاحيات وصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية عبر السمة class wrapper form الخاصة بالرمز المختصر class wrapper form. تنشأ المشكلة لأن معالج FilterCourseShortcode::render() يفشل في تطبيق تصفية shortcode atts()، مما يسمح بإدراج سمات المستخدم الأولية في سمة فئة HTML عبر sprintf() دون التهرب المناسب باستخدام esc attr(). يتم تنفيذ هذه البرامج النصية كلما زار مستخدم الصفحة المتأثرة.

قم بتحديث LearnPress إلى إصدار أحدث من 4.4.0.

كإجراء تخفيفي مؤقت، قم بتقييد المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم من إنشاء أو تعديل الصفحات التي تحتوي على الرموز المختصرة.