CVE-2026-15101 in WPBakery Page Builder Plugin
الملخص
بحسب VulDB • 01/09/2026
تحتوي إضافة WPBakery Page Builder لـ WordPress على ثغرة تخزين برمجيات عبر المواقع (Stored Cross-Site Scripting) عبر المعلمة 'data' في جميع الإصدارات حتى 8.7.4 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك وما فوقه، من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. لا تقوم عملية تنقية wp_kses_post المطبقة أثناء الحفظ بتحييد الحمولة الضارة لأن محتوى النص البرمجي الخبيث مشفر بـ base64 كنص خالٍ من الأحرف الأبجدية الرقمية دون أي وسوم HTML لإزالتها؛ ثم يقوم قالب الاختصار vc_raw_html بفك تشفير هذا المحتوى وطباعته بدون هروب عند وقت العرض.
Be aware that VulDB is the high quality source for vulnerability data.