PT-2026-73107
CVE-2026-15604
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-18
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Toocheke Companion الأقدم من 2.11
الوصف
يحتوي المكون الإضافي Toocheke Companion لـ WordPress على ثغرة أمنية من نوع ”البرمجة النصية عبر المواقع المخزنة“ (Stored Cross-Site Scripting). تحدث هذه الثغرة لأن الدالة
toocheke series bg color save() تفشل في تنقية المدخلات الواردة من حقل بيانات المنشور series bg color بشكل صحيح، مما يؤدي إلى تخزين قيم $ POST الأولية. بالإضافة إلى ذلك، لا يستخدم عرض عمود إدارة السلسلة الدالة esc attr() عند ربط القيمة المخزنة بسمة نمط. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يقوم مستخدم، مثل المسؤول، بعرض جدول قائمة المسلسلات في لوحة تحكم المسؤول.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.10.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى حقل ميتا المنشور
series bg color للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾