PT-2026-68115
CVE-2026-71249
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
299 كيلوبايت (الإصدارات المتأثرة غير محددة)
الوصف
يمكن لمهاجم غير مصدق هويته تنفيذ هجوم «التنفيذ البرمجي عبر المواقع» (XSS) المنعكس عبر نموذج الاتصال العام. تحدث هذه المشكلة لأن الدالة
home() الموجودة في ملف plugin/contact/controllers/ContactController.php تقوم بتعيين قيم حقول POST الأولية إلى قالب الصفحة دون تعقيمها. وبالتالي، فإن الدالة show var() الموجودة في ملف common/Template.php تعرض هذه القيم دون استخدام الدالة htmlspecialchars()، ويقوم قالب contact.tpl بإخراجها دون إخفاء الأحرف الخاصة في منطقة نصية (textarea) وسمة HTML. وهذا يسمح للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح الزائر أو المسؤول، مما قد يؤدي إلى سرقة رمز الجلسة. المعلمات المعرضة للخطر هي name وfirstname وemail وmessage.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾