PT-2026-81170
CVE-2026-12561
·
تاريخ النشر
2026-08-24
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات tagDiv Composer السابقة للإصدار 5.4.6
الوصف
يحتوي المكون الإضافي على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) داخل الرمز القصير
vc raw html. تفشل الدالة vc raw html::render() في تنقية المدخلات بشكل صحيح وتشفير المخرجات عن طريق فك تشفير محتوى الرمز القصير باستخدام base64 وإدراجه مباشرةً في كود HTML للصفحة. تتجاوز هذه العملية مرشح wp kses post()، وهو دالة في WordPress تُستخدم لتنقية محتوى HTML، لأن المرشح لا يقوم بفك تشفير النص المكتوب بتنسيق base64. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يقوم مستخدم، مثل «المحرر» (Editor) أو «المسؤول» (Administrator)، بعرض الصفحة المتأثرة.التوصيات
قم بتحديث tagDiv Composer إلى الإصدار 5.4.6 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الرمز القصير
vc raw html للمستخدمين الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾