PT-2026-58094 · WordPress · Hi.Events
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hi.Events الأقدم من 1.11.0
الوصف
يمكن للمهاجمين المصادق عليهم الذين يتمتعون بأذونات إنشاء الأحداث أو تعديلها تنفيذ هجوم «البرمجة النصية عبر المواقع» (XSS) عن طريق تضمين عنوان حدث ضار يحتوي على التسلسل
</script>. ويحدث ذلك لأن دالة JSON.stringify() لا تقوم بتحويل التسلسل إلى أحرف آمنة عند تضمينه في علامات البرمجة النصية المضمنة. وهذا يسمح للمهاجم بالخروج من سياق البرنامج النصي داخل كتلة البيانات المنظمة application/ld+json أو الحالة المعاد تهيئتها من جانب الخادم، وتنفيذ تعليمات HTML وJavaScript تعسفية في متصفح أي مستخدم يشاهد صفحة الحدث العامة، بما في ذلك الزوار غير المصادق عليهم والمسؤولون.التوصيات
التحديث إلى الإصدار 1.11.0 أو أحدث.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Hi.Events