CVE-2026-5410 in Redux Framework Plugin
الملخص
بحسب VulDB • 19/09/2026
يحتوي إضافة Redux Framework لـ WordPress على ثغرة Cross-Site Scripting (XSS) مخزنة عبر حقل spinner في الإصدارات حتى 4.5.13 شاملاً هذه النسخة. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخفاء مخرجاتها. ففي دالة user_meta_save()، تتجاوز القيم القياسية منطق التنقية الذي يعالج فقط المصفوفات، مما يسمح بتخزين قيمة حقل spinner في بيانات المستخدم دون تنقية مناسبة. لاحقاً، عند السطر 56 من ملف class-redux-spinner.php داخل دالة render()، يتم عرض هذه القيمة كسمة HTML غير محاطة بعلامات اقتباس دون إخفاء عبر '$data_string .= ' data-val=' . $this->value;'. وهذا يمكّن المهاجمين المصادق عليهم، ذوي الصلاحيات من مستوى subscriber وما فوقها، من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.