PT-2026-68882
CVE-2026-64638
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
WordPress الإصدارات السابقة لـ 7.0.3
الوصف
يحتوي WordPress على ثغرة cross-site scripting (XSS) منعكسة قبل المصادقة في شاشة تسجيل الدخول. السبب الجذري هو وجود تعارض بين أداة تصفية (sanitizer) وأخرى فيما يتعلق بتحديد وسوم HTML، حيث تمر بعض الوسوم المشوهة من خلال أداة التصفية الأولى ويتم تحويلها إلى عناصر صالحة بواسطة الثانية. يسمح هذا بحقن HTML، والذي يمكن تصعيده إلى تنفيذ برمجيات خبيثة باستخدام DOM clobbering واستجابات JSONP. يمكن للمهاجم استضافة موقع خارجي خبيث لتنفيذ هذه السلسلة، مما قد يؤدي إلى تصعيد XSS إلى تنفيذ عن بُعد للكود (RCE) إذا تفاعل مسؤول نظام مسجل دخوله مع الصفحة، مما يسمح للمهاجم برفع shell كإضافة (plugin). يُقدر أن أكثر من 500 مليون موقع معرض للخطر. تكمن المشكلة في ملف
wp-login.php.التوصيات
تحديث WordPress إلى الإصدار 7.0.3 أو أحدث إصدار مصحح للفرع الخاص بك (تم توفير الإصلاح للإصدارات القديمة وصولاً إلى 4.7).
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾