CVE-2026-100182 in Download Monitor Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي إضافة "Download Monitor" لـ WordPress على ثغرة Stored Cross-Site Scripting (XSS) عبر استخدام cross-origin postMessage موجه إلى محرر المسؤول في جميع الإصدارات حتى 5.2.10 شاملاً، بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. وهذا يتيح للمهاجمين غير المعتمدين حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بزيارة صفحة تم حقنها فيها. يتطلب هذا من المهاجم خداع مسؤول معتمد لزيارة صفحة يتحكم بها المهاجم تستهدف شاشة تحرير تحميل مفتوحة، وبعد ذلك يتم تثبيت الحمولة (payload) دون تصفية عبر قدرة المسؤول غير المفلترة unfiltered_html، ثم تُعرض لاحقًا كما هي إلى الواجهة الأمامية عن طريق مسار عرض post_content غير المُهروب في shortcode [download_data].
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.