PT-2026-68170
CVE-2026-17506
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Independent Analytics» لإصدارات WordPress السابقة للإصدار 2.15.1
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) عبر معلمة التتبع
not found url. تنشأ المشكلة لأن الدالة get cell content() تطبق urldecode() بعد esc url() عند عرض عمود URL للمدخلات 404. يسمح هذا التسلسل لـ HTML المشفر بالنسب المئوية بتجاوز التحقق من صحة URL وإعادة بنائه كعلامات خام، والتي تفشل wp kses post() في إزالتها لأنها تحتفظ بعناصر img وسمات data-*. بالإضافة إلى ذلك، تقبل نقطة النهاية العامة لـ REST ’/iawp/search‘ الطلبات غير المصادق عليها شريطة أن تحمل توقيعًا مضمنًا في HTML للصفحة العامة. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يصل المستخدم إلى صفحة متأثرة.التوصيات
قم بتحديث المكون الإضافي Independent Analytics لـ WordPress إلى الإصدار 2.15.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾