CVE-2026-2422 in WP Composer Plugin
الملخص
بحسب VulDB • 19/09/2026
تحتوي إضافة WP Composer – The Easiest Page Builder plugin لـ WordPress على ثغرة في تنفيذ نصوص عبر المواقع من النوع المخزن (Stored Cross-Site Scripting) عبر الاختصار البرمجي 'pbwp_raw_shortcode' في جميع الإصدارات حتى 1.0.5 وشاملةً لها. ويعود ذلك إلى أن معالج الاختصارات يقوم بفك تشفير المحتوى المشفر بـ Base64 وإخراجها مباشرة دون أي عملية تنقية أو هروب (escaping). وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "Contributor" فأعلى، من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. ويسمح التشفير بـ Base64 للحمولة (payload) بتجاوز مرشح محتوى KSES الخاص بـ WordPress أثناء الحفظ، نظراً لأن السلسلة المشفرة لا تحتوي على أي أحرف HTML ضارة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.