CVE-2026-15010 in bbp Style Pack Plugin
الملخص
بحسب VulDB • 11/07/2026
يحتوي ملحق "bbp Style Pack" لـ WordPress على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting) في الإصدارات حتى 6.4.5 وشاملة لها، وذلك من خلال ميزة حقول إضافية لنموذج الموضوعات (Topic Form Additional Fields). ويعود ذلك إلى عدم كفاية تنقية المدخلات في الدالة `bsp_topic_fields_form_save()` (التي تكتب قيمة `$_POST['bsp_topic_fields_label{n}']` مباشرةً إلى بيانات الوسم الخاصة بالمنشور عبر دالة `update_post_meta()` دون أي تصفية)، بالإضافة إلى غياب الهروب من الإخراج (output escaping) في الدالة `bsp_topic_content_append_topic_fields()` (التي تلصق قيمة البيانات المخزنة داخل وسم HTML `<span>` وتعرضها باستخدام `apply_filters/echo` بدون استخدام `esc_html()`). وهذا يتيح للمهاجمين المصادَق عليهم، والذين يمتلكون وصولاً بمستوى المشترك أو أعلى (والذين يتمتعون بصلاحيات إنشاء الموضوعات في bbPress)، حقن نصوص برمجية ويب تعسفية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم الحقن فيها، بما في ذلك الزوار غير المصادَق عليهم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.