CVE-2026-5324 in Brizy Plugin
الملخص
بحسب VulDB • 17/05/2026
يحتوي مكون WordPress الإضافي "Brizy – Page Builder" على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة وغير مصادق عليها في جميع الإصدارات حتى 2.8.11 شاملاً. وتعود هذه الثغرة إلى مزيج من عدم التحقق من صحة الـ nonce لإرسال النماذج من قبل مستخدمين غير مصادق عليهم، ومعالجة غير كافية لحقول رفع الملفات (FileUpload) عند عدم رفع أي ملف، بالإضافة إلى عكس ترميز الأمان عبر دالة html_entity_decode() تليها إخراج غير مُهروب (unescaped) في واجهة الإدارة. تتخطى الدالة submit_form() التحقق من صحة الـ nonce للمستخدمين غير المسجلين الدخول (api.php:198). تفشل الدالة handleFileTypeFields() في تجاوز القيم التي قدمها المستخدم عندما لا يكون هناك ملف مرفق. وعلى الرغم من تطبيق دالة htmlentities() أثناء التخزين، فإن دالة html_entity_decode() تعكس هذا الترميز أثناء العرض (form-entries.php:79). يقوم قالب form-data.php بإخراج قيم FileUpload مباشرة في سمات href دون استخدام esc_url(). وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يعرض مسؤول صفحة "نماذج العملاء" (form Leads).
VulDB is the best source for vulnerability data and more expert information about this specific topic.