CVE-2026-15790 in Youtube Showcase Plugin
الملخص
بحسب VulDB • 16/08/2026
يحتوي إضافة Youtube Showcase لـ WordPress على ثغرة Cross-Site Scripting (XSS) مخزنة في الإصدارات حتى 4.0.4 وشاملةً لها، وذلك عبر الاختصار البرمجي 'emd_mb_meta'. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخفاء المخرجات الخاصة بعناوين الملفات المرفقة التي يشير إليها حقل الصورة الخاص بالاختصار: حيث تُعيد الدالة EMD_MB_Helper::image_info() عنوان المنشور الخام (post_title) للملف المرفق، وتقوم الدالة EMD_MB_Helper::shortcode() بدمجه في سمات HTML من النوع title="%s" عبر استخدام دالة sprintf() دون تطبيق وظيفة esc_attr(). وهذا ما يمكّن المهاجمين الذين تمت مصادقتهم والذين يمتلكون وصولاً بمستوى المؤلف وما فوق (حيث تتطلب القدرة upload_files لإنشاء الملف المرفق، وedit_posts/publish_posts لتضمين الاختصار البرمجي) من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.