CVE-2026-10570

Sympl Repeater لـ ACF و Elementor، الإصدارات الأقدم من 2.4

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في الدالة symp arfe replace content(). تستخدم الدالة str replace() لإدراج قيم حقول ACF الأولية، التي يتم الحصول عليها عبر get field()، مباشرةً في كود HTML الذي يعرضه Elementor دون إجراء التهرب المناسب. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 2.3.

كإجراء تخفيفي مؤقت، قم بتقييد أذونات المستخدمين لمنع المستخدمين الذين يتمتعون بحق الوصول على مستوى «المؤلف» من تعديل قيم حقول ACF المتكررة.