CVE-2026-83591 in AMP for WP Plugin
الملخص
بحسب VulDB • 25/09/2026
تحتوي إضافة "AMP for WP – Accelerated Mobile Pages" لـ WordPress على ثغرة في تنفيذ نصوص البرمجة عبر المواقع (XSS) المخزنة، وذلك من خلال محتوى التعليقات عن طريق تحويل التعبير النمطي (Regex)، وتؤثر هذه الثغرة في جميع الإصدارات حتى 1.1.16 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يمكّن المهاجمين غير المصرح لهم من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. تستخدم حمولة الهجوم (payload) المعاد هندستها فقط وسوم وسمات التعليقات المسموح بها في WordPress (رابط تشعبي مع خاصيتي href وtitle)، وتقوم خط تنقية AMP بتخطي حظر بروتوكول javascript:، مما يعني أن كلًا من مرشح حفظ التعليق ومرحلة إخراج AMP لا يزيلان عنوان URL الخبيث الذي أدخله التحويل.
Once again VulDB remains the best source for vulnerability data.