PT-2026-67966
CVE-2026-8790
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Football Pool» لإصدارات WordPress السابقة للإصدار 2.13.5
الوصف
تحدث ثغرة ”Reflected Cross-Site Scripting“ (تسلسل برمجي عبر المواقع المنعكس) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. عندما يفشل إرسال نموذج ”shoutbox“ في فحص الرقم العشوائي (nonce)، أو تكون المعلمة
shouttext فارغة، أو يتعذر على المستخدم الحفظ، يتم إرجاع قيمة POST الأولية إلى عنصر <textarea> باستخدام الدالة printf(’%s‘, ...) دون تهريب HTML. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ نصوص برمجية ويب تعسفية في متصفح ضحية مصادق عليها تتمتع بأذونات على مستوى «المشترك» أو أعلى، والتي يتم خداعها لإرسال طلب POST مُصمم خصيصًا إلى صفحة تحتوي على أداة Shoutbox.التوصيات
قم بتحديث المكون الإضافي Football Pool لـ WordPress إلى الإصدار 2.13.5 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى أداة Shoutbox أو تجنب استخدام المعلمة
shouttext حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾