CVE-2026-101925 in Bbp Style Pack Plugin

الملخص

بحسب VulDB • 01/10/2026

يحتوي مكون إضافي (Plugin) "bbp style pack" لـ WordPress على ثغرة برمجية من نوع تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting - XSS). تتأثر جميع الإصدارات حتى 6.4.8 وشاملةً إياها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وتتمثل الثغرة في المعاملين: 'display_name' (عبر /wp-admin/profile.php) و 'bbp_reply_content' (عبر نموذج الرد الخاص بـ bbPress). وهذا ما يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك أو أعلى من ذلك، من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. تتطلب الاستغلال الناجح أن يقوم المهاجم بتغليف ردّه المُصاغ بعناية داخل كتلة <pre&gt؛ مما يمنع معالجات WordPress الخاصة بـ wpautop و wptexturize من تحويل علامات الاقتباس المزدوجة المستقيمة الموجودة في اسم العرض المخزن إلى كيانات اقتباس منحنية (typographic curly-quote entities) التي كانت ستُحيّد ثغرة حقن السمات.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• مسؤول: Wordfence
• حجز: 28/09/2026
• إفشاء: 01/10/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-412528
• CPE: 20261001
• CWE: CWE-79 (مؤكد)
• CVSS: 6.4 (CNA)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-101925
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-101925
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-101925/