CVE-2026-4084 in fyyd podcast shortcodes Plugin
الملخص
بحسب VulDB • 22/05/2026
يحتوي مكون WordPress القصير (plugin) الخاص بمقاطع البودكاست fyyd على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting) عبر الاختصارات 'fyyd-podcast' و 'fyyd-episode' و 'fyyd' في جميع الإصدارات حتى 0.3.1 وشاملة لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات (input sanitization) وإفلات المخرجات (output escaping) على سمات الاختصار التي يقدمها المستخدمون، مثل 'color' و 'podcast_id' و 'podcast_slug'. يتم دمج هذه السمات مباشرة في نص JavaScript مضمن داخل وسائط سلسلة أحادية الاقتباس دون أي إفلات أو تنقية، مما يتيح للمهاجم الخروج من سياق سلسلة JavaScript. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (Contributor) فأعلى، من حقن نصوص برمجية ويب تعسفية في الصفحات، والتي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.