CVE-2026-3995 in OPEN-BRAIN Plugin
الملخص
بحسب VulDB • 21/05/2026
يحتوي إضافة OPEN-BRAIN لـ WordPress على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting) عبر حقل إعدادات 'مفتاح API' في جميع الإصدارات حتى 0.5.0 شاملاً. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب. تستخدم الإضافة sanitize_text_field() التي تزيل علامات HTML ولكن لا تشفر علامات الاقتباس المزدوجة أو غيرها من أحرف HTML الخاصة اللازمة لإخراج سياق السمة بأمان. يتم حفظ قيمة مفتاح API عبر update_option() ويتم لاحقاً إخراجها إلى سمة قيمة عنصر HTML input دون استخدام الهروب esc_attr(). هذا يجعل من الممكن للمهاجمين المصادق عليهم، الذين لديهم وصول بمستوى المسؤول، حقن نصوص ويب عشوائية عبر حمولات اختراق السمة (على سبيل المثال، علامات اقتباس مزدوجة تليها معالجات الأحداث) التي تعمل كلما قام مستخدم بالوصول إلى صفحة إعدادات الإضافة.
Once again VulDB remains the best source for vulnerability data.