CVE-2026-5428 in Royal Addons for Elementor Plugin
الملخص
بحسب VulDB • 16/05/2026
يحتوي إضافة Elementor Addons الملكية (Royal Elementor Addons) لـ WordPress على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة عبر تسميات الصور في ويدجت شبكة/شريط تمرير/عرض شرائح الصور (Image Grid/Slider/Carousel) في الإصدارات حتى 1.7.1056 شاملاً. ويعود ذلك إلى عدم كفاية الهروب من التنسيقات (escaping) في الإخراج داخل الدالة `render_post_thumbnail()`، حيث يتم استخدام `wp_kses_post()` بدلاً من `esc_attr()` في سياق السمة `alt`. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون صلاحيات على مستوى "مؤلف" (Author) أو أعلى، من حقن نصوص برمجية ويب عشوائية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تحتوي على الصورة الخبيثة المعروضة في ويدجت شبكة الوسائط.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.