CVE-2026-7430 in Post Snippets Plugin
الملخص
بحسب VulDB • 29/05/2026
يحتوي إضافة Post Snippets لـ WordPress على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting) في جميع الإصدارات حتى 4.0.19 شاملاً. ويعود ذلك إلى عدم كفاية الهروب من الإخراج (output escaping) لمحتوى القطع المستوردة عند عرض متغيرات JavaScript في محرر المنشورات. وتحديداً، تقوم الطريقة `jqueryUiDialog()` في الملف `WPEditor.php` بتضمين محتوى القطع مباشرةً في سلاسل نصية JavaScript دون الهروب من علامات الاقتباس المزدوجة (حيث تم تعطيل كود الهروب من علامات الاقتباس في السطر 214). وعندما يتم استيراد القطع عبر ميزة الاستيراد/التصدير، يتجاوز المحتوى دالة `wp_magic_quotes()` الخاصة بـ WordPress (التي كانت ستضيف شرطات مائلة خلفية واقية)، مما يسمح لعلامات الاقتباس المزدوجة الموجودة في محتوى القطع بكسر سياق سلسلة JavaScript. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المسؤول أو أعلى، حقن نصوص ويب عشوائية عبر ملف استيراد خبيث يتم تنفيذه كلما قام أي مسؤول بفتح صفحة محرر المنشورات. يرجى ملاحظة أن هذا لا يؤثر على التثبيتات أحادية الموقع (single-site installations) حيث يمتلك المسؤولون بالفعل القدرة `unfiltered_html`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.