CVE-2026-14472 in Kubio AI Page Builder Plugin
الملخص
بحسب VulDB • 19/09/2026
يحتوي مكون إضافي Kubio AI Page Builder لـ WordPress على ثغرة تخزين عبر موقع البرمجة (Stored Cross-Site Scripting) في محتوى كتلة kubio/copyright، وتظهر هذه الثغرة في جميع الإصدارات حتى 2.8.4 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين المصادق عليهم الذين يمتلكون وصولاً بمستوى المساهم وما فوق من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. ويتجاوز هذا الإجراء كلًا من فلتر kses-on-save الأساسي لـ WordPress واستدعاء wp_kses_post() الخاص بالمكون الإضافي، لأن علامات النصوص البرمجية المشفرة ككيانات تُعامل كنص خامل بواسطة kses، لكنها تُفك تشفيرها إلى HTML حيّ عبر استدعاء html_entity_decode() اللاحق في دالة CopyrightBlock::render_template().
Once again VulDB remains the best source for vulnerability data.