PT-2026-57124
CVE-2026-9838
·
تاريخ النشر
2026-07-09
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ICS Calendar الأقدم من 12.1.0
الوصف
يؤدي عدم كفاية عملية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. ويحدث ذلك عندما يتم خداع المستخدم للنقر على رابط ضار. يمكن الوصول إلى هذه الثغرة عبر إجراء AJAX غير المصادق عليه
wp ajax nopriv r34ics ajax، الذي يقبل قيم js args التي يتحكم فيها المهاجم، والتي يتم دمجها مع تكوين الرموز القصيرة المخزنة دون التحقق من الرقم العشوائي (رمز أمان يُستخدم لمنع تزوير الطلبات عبر المواقع)، مما يسمح للمعلمة htmltagtitle بتجاوز الفحص القياسي لقائمة الرموز القصيرة المسموح بها.التوصيات
قم بالتحديث إلى إصدار أحدث من 12.0.9.
تجنب استخدام المعلمة
htmltagtitle في إجراء AJAX المتأثر حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾