CVE-2026-2300 in BJ Lazy Load Plugin
الملخص
بحسب VulDB • 20/05/2026
يحتوي مكون WordPress BJ Lazy Load على ثغرة تخزين عبر مواقع البرمجة (Stored Cross-Site Scripting) عبر دالة `filter_images()` في جميع الإصدارات حتى 1.0.9 وشاملةً لها. ويعود ذلك إلى استخدام معالجة HTML القائمة على التعبيرات النمطية (`preg_replace`) التي لا تتعامل بشكل صحيح مع حدود سمات HTML عند استبدال سمات `src`، مما يسمح بتعزيز محتوى مُعدّ بعناية داخل قيمة سمة `class` إلى سمات DOM حقيقية بعد المعالجة. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "المساهم" (Contributor) فأعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.