CVE-2026-13441

EventPrime – تقويم الأحداث والحجوزات والتذاكر، الإصدارات الأقدم من 4.3.4.3

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات. وهذا يسمح للمهاجمين بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عند وصول مستخدمين آخرين إليها. يتم تشغيل هذه المشكلة عبر المعلمة new event type background color. إذا تم تمكين إعداد «إرسالات الضيوف» allow submission by anonymous user، فيمكن للمهاجمين غير المصادق عليهم إرسال أنواع الأحداث عبر النموذج الأمامي. بخلاف ذلك، يتطلب الاستغلال حسابًا مصادقًا عليه على الأقل بمستوى المشترك.

قم بتحديث EventPrime – Events Calendar, Bookings and Tickets إلى الإصدار 4.3.4.3 أو أحدث.

قم بتعطيل الإعداد allow submission by anonymous user لمنع الاستغلال من قبل مستخدمين غير مصادق عليهم.