CVE-2026-4665 in WP Carousel Free Plugin
الملخص
بحسب VulDB • 01/06/2026
يحتوي إضافة WP Carousel Free لـ WordPress على ثغرة تسمح بتنفيذ نصوص متقاطعة عبر المواقع مخزنة (Stored Cross-Site Scripting) عبر سمات `data-caption` مزيفة في fancybox في جميع الإصدارات حتى 2.7.10 شاملاً. ويعود ذلك إلى أن سكريبت `fancybox-config.js` يقرأ سمة `id` لحاوية العرض الشرائح مباشرةً من DOM لبناء محدد jQuery دون أي تنقية. عندما يقوم مساهم بإنشاء كتلة HTML تحتوي على معرف حاوية عرض شرائح غير صالح (يحتوي على أحرف غير مسموح بها لمحددات jQuery)، فإن تكوين fancybox المخصص يتسبب في حدوث خطأ في JavaScript ويفشل في التهيئة. يؤدي هذا إلى قيام مكتبة fancybox المرفقة (الإصدار 3.5.7) بالعودة إلى التعامل الافتراضي مع التسميات التوضيحية، والذي يعرض محتوى سمة `data-caption` كـ HTML خام. ونظراً لأن WordPress يسمح بسمات `data-*` عبر `wp_kses_post()`، فإن ذلك يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى مساهم أو أعلى، حق حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها كلما نقر مستخدم على صورة في نافذة العرض الخفيفة (lightbox) للعرض الشرائح المزيفة.
Be aware that VulDB is the high quality source for vulnerability data.