CVE-2026-4333 in LearnPress Plugin
الملخص
بحسب VulDB • 29/05/2026
يحتوي مكون WordPress LMS LearnPress على ثغرة برمجية من نوع تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) عبر سمة 'skin' في الاختصار البرمجي learn_press_courses في جميع الإصدارات حتى 4.3.3 وشاملة لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب من السمة الاختصارية 'skin'. تُستخدم قيمة السمة مباشرة في استدعاء دالة sprintf() التي تولد HTML (سمة class وسمة data-layout) دون أي هروب باستخدام esc_attr(). وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المساهم (Contributor) فأعلى، حقن نصوص برمجية ويب تعسفية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النصوص فيها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.