CVE-2026-8892

إصدارات CM Business Directory الأقدم من 1.5.8

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). ويحدث ذلك عندما يتم إدخال نصوص برمجية ويب عشوائية إلى الصفحات عبر حقول بيانات تعريفية لعناوين الأعمال، والتي يتم تنفيذها بعد ذلك عندما يصل المستخدم إلى الصفحة المتأثرة. ونظرًا لأن الحمولة تُخزَّن في ميتا المنشور (post meta) بدلاً من محتوى المنشور (post content)، يتم تجاوز تقييد إمكانية unfiltered html في WordPress. وتشمل المتغيرات المتأثرة cmbd address وcmbd cityTown وcmbd stateCounty وcmbd postalcode وcmbd region وcmbd country.

قم بالتحديث إلى إصدار أحدث من 1.5.7.

قم بتقييد استخدام الحقول cmbd address وcmbd cityTown وcmbd stateCounty وcmbd postalcode وcmbd region وcmbd country على المستخدمين الموثوق بهم فقط.