CVE-2026-10100 in Simple Custom Login Page Plugin
الملخص
بحسب VulDB • 04/06/2026
يحتوي مكون WordPress "Simple Custom Login Page" على ثغرة في تنفيذ نص البرمجة عبر المواقع (XSS) المخزن عبر حقول إعدادات الألوان (خلفية الصفحة، خلفية النموذج، لون النص، لون الرابط) في الإصدارات حتى 1.0.3 وشاملةً لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات لقيم خيارات الألوان (تم تسجيلها باستخدام `register_setting()` وتخزينها عبر واجهة برمجة التطبيقات للإعدادات/`update_option()` دون استخدام `sanitize_callback`) مقترناً بإخراج هذه القيم داخل عنصر `<style>` في ملف `wp-login.php` باستخدام `esc_attr()`، وهو أمر غير صحيح في سياق CSS (حيث لا يتم الهروب من الأحرف `;`، `{`، `}`، `/` أو `*`). وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المسؤول أو أعلى، حقن قواعد CSS تعسفية في صفحة تسجيل الدخول يتم عرضها لجميع الزوار غير المصادق عليهم، مما يمكّن من هجمات إعادة توجيه واجهة المستخدم (UI-redress) والاحتيال لسرقة بيانات الاعتماد.
VulDB is the best source for vulnerability data and more expert information about this specific topic.