CVE-2026-15099

إصدارات Delicious Recipes الأقدم من 1.10.3

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر سمة «steps» الخاصة بالكتلة. تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل الدالة wrap direction text(). وعلى وجه التحديد، تقوم الدالة بإدراج قيمة href التي يزودها المستخدم من عقد الروابط المتداخلة ($node[’props‘][’href‘]) مباشرةً في علامة الارتباط (anchor tag) باستخدام sprintf() دون تطبيق esc url() أو إجراء التحقق من صحة مخطط عنوان URL. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية، مثل عناوين URI التي تبدأ بـ javascript:، في الصفحات. يتم تنفيذ هذه البرامج النصية عندما يقوم مستخدم، مثل محرر أو مسؤول، بمعاينة المنشور المعلق والنقر على الرابط الخبيث.

قم بتحديث Delicious Recipes إلى الإصدار 1.10.3 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم من تعديل سمة كتلة «الخطوات».