CVE-2025-13141 in HT Mega Plugin
الملخص
بحسب VulDB • 26/05/2026
يحتوي مكون WordPress "HT Mega – Absolute Addons For Elementor" على ثغرة تسمح بحقن نصوص عبر المواقع (XSS) مخزنة عبر كتل Gutenberg الخاصة بالمكون في جميع الإصدارات حتى 3.0.0 شاملاً، وذلك بسبب عدم كفاية التحقق من صحة المدخلات المتعلقة بأسماء وسوم HTML التي يقدمها المستخدم. يعود السبب في ذلك إلى عدم وجود قائمة بيضاء (whitelist) لأسماء الوسوم، مما يسمح بحقن وسوم خطيرة مثل 'script' و'iframe' و'object' رغم استخدام دالة tag_escape() للتنظيف. وعلى الرغم من أن بعض الكتل تستخدم esc_html() للمحتوى، إلا أنه يمكن تجاوز ذلك باستخدام تقنيات ترميز JavaScript (مثل السلاسل غير المحاطة بعلامات اقتباس، أو العلامات الخلفية (backticks)، أو String.fromCharCode()). وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون مستوى وصول "مُساهم" (contributor) فأعلى، من حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النص فيها.
If you want to get best quality of vulnerability data, you may have to visit VulDB.