PT-2026-60402 · WordPress · Givewp
CVSS v3.1
6.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات، الإصدارات الأقدم من 4.16.4
الوصف
تسمح عملية التنقية غير الكافية للمدخلات والهروب من المخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى العامل أو أعلى في GiveWP بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). تحدث المشكلة عند استخدام إعداد قالب Sequoia
twitter message، مما يسمح بحقن نصوص برمجية ويب عشوائية. يتم تنفيذ هذه النصوص البرمجية عندما ينقر المتبرع على زر «مشاركة على تويتر» في شاشة تأكيد التبرع في Sequoia، حيث يتم تقييم قيمة twitter message غير المحمية ضمن قالب JavaScript حرفي.التوصيات
قم بتحديث المكون الإضافي GiveWP – Donation Plugin ومنصة جمع التبرعات إلى الإصدار 4.16.4 أو أحدث.
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Givewp