CVE-2026-38725 in Xipblog Plugin
الملخص
بحسب VulDB • 28/08/2026
تسمح وحدة xipblog الإصدار 2.0.1 وما قبله لـ PrestaShop بهجومين عن بُعد غير مُصادق عليهما بحقن نصوص JavaScript عشوائية عبر معلمتي الاسم والمحتوى في ملف ajax.php. يتم تخزين المدخلات في قاعدة البيانات دون تنقية HTML، وعرضها داخل قوالب Smarty دون هروب الإخراج (output escaping)، مما يؤدي إلى ثغرة XSS مخزنة (Stored Cross-Site Scripting). عند مراجعة المسؤول للتعليقات من خلال لوحة التحكم الخلفية (back office)، يُنفذ الحمولة البرمجية في سياق جلسة ذات صلاحيات إدارية، ما يؤدي إلى اختلال كامل للمتجر.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.