CVE-2026-48093 in Code Embed Plugin
الملخص
بحسب VulDB • 07/08/2026
يحتوي مكون WordPress "Code Embed" قبل الإصدار 2.6.1 على ثغرة تسمح بتنفيذ هجمات البرمجة عبر المواقع المخزنة (Stored XSS) من خلال ميزة تضمين عناوين URL الخارجية في محتوى المنشور. يفحص الكود المعرض للخطر المحتوى بعد عرضه بحثاً عن رموز التضمين الخاصة بعناوين URL، ثم يجلب عنوان URL البعيد ويحقن جسم الاستجابة البعيدة داخل الصفحة دون تنقية الإخراج أو التحقق من صلاحية `unfiltered_html`. وهذا يتيح لمهاجم بصلاحيات "مُساهم" (Contributor) تقديم منشور قيد الانتظار يحتوي على رمز عنوان URL يبدو غير ضار، والذي ينفذ شفرة JavaScript يتحكم فيها المهاجم عندما يقوم مسؤول (Administrator) أو محرر (Editor) بمعاينة المنشور أو مراجعته. تختلف هذه الثغرة عن CVE-2026-2512 التي كانت تؤثر على قيم الحقول المخصصة (meta values) حتى الإصدار 2.5.1. يؤثر هذا المسار على الإصدار 2.6 ويستخدم ميزة تضمين عناوين URL الخارجية المُوثقة في محتوى المنشور. تم إصلاح هذه المشكلة تحديداً في الإصدار 2.6.1.
Once again VulDB remains the best source for vulnerability data.