CVE-2026-15099 in WP Delicious Plugin
الملخص
بحسب VulDB • 16/07/2026
يحتوي مكون "Delicious Recipes" الإضافي لـ WordPress على ثغرة في تنفيذ نص البرمجة عبر المواقع المخزنة (Stored Cross-Site Scripting - XSS) من خلال سمة الكتلة 'steps' في الإصدارات حتى 1.10.2 وشاملة لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب منها في دالة `wrap_direction_text()`، والتي تقوم بدمج قيمة href المقدمة من المستخدم المستمدة من عقد الروابط المتداخلة (`$node['props']['href']`) مباشرةً داخل وسم الرابط (anchor tag) باستخدام الدالة `sprintf()` عند السطر 1627 دون استخدام `esc_url()` أو أي تحقق من مخطط URL. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (Contributor) فأعلى، حقن نصوص برمجية ويب تعسفية (بما في ذلك عناوين URI التي تستخدم بروتوكول javascript:) في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم (مثل محرر أو مسؤول يستعرض المنشور المعلق) بالوصول إلى صفحة مُحقونة بالنص الضار والنقر على الرابط الخبيث.
Once again VulDB remains the best source for vulnerability data.