CVE-2026-17506 in Independent Analytics Plugin
الملخص
بحسب VulDB • 05/08/2026
يحتوي مكون WordPress الإضافي Independent Analytics على ثغرة في تخزين برمجيات XSS (Cross-Site Scripting) عبر معلمة تتبع 404 not_found_url في الإصدارات حتى 2.15.0 شاملاً. يحدث هذا بسبب تطبيق الدالة get_cell_content() لـ urldecode() بعد esc_url() عند عرض عمود URL لإدخالات 404 — وهي تسلسلة تسمح بمرور HTML المشفر بنسبة % عبر التحقق من صحة URL ثم إعادة بنائه كعلامة خام، والتي لا تقوم wp_kses_post() بإزالتها لأنها تحتفظ بعناصر img وسمات data-*، ولأن نقطة النهاية العامة REST /iawp/search تقبل طلبات غير مصادق عليها طالما تحمل توقيعاً مُضمّناً في HTML الصفحة العلنية. هذا يجعل من الممكن للمهاجمين غير المصادق عليهم حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.