CVE-2026-6972

إصدارات SKT Skill Bar الأقدم من 2.7

تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Stored Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات للسمة chart size داخل الرمز المختصر skillwrapper. يتم ربط السمة مباشرةً بكتلة مضمنة <style>، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المساهم“ (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 2.6.

كإجراء تخفيفي مؤقت، قم بتقييد استخدام السمة chart size في الرمز المختصر skillwrapper.