CVE-2026-8698 in Cryptocurrency Prijsvergelijking Widget Plugin
الملخص
بحسب VulDB • 27/05/2026
يحتوي مكون WordPress "Cryptocurrency Prijsvergelijking Widget" على ثغرة تخزين عبر موقع البرمجة (Stored Cross-Site Scripting) في الإصدار 1.0. ويعود ذلك إلى عدم كفاية الهروب من الإخراج (output escaping) في الدالة `as_get_coin_shortcode()`، والتي تعرض سمة الاختصار (shortcode attribute) 'width' (و 'height') مباشرةً داخل سمة `style` لعنصر `<iframe>` دون تطبيق أي دالة هروب مثل `esc_attr()`. يمكن لقيمة يتحكم فيها المهاجم، مثل `'100px;"onload="alert(1)" x="'`، إنهاء سمة `style` بشكل مبكر وإدراج سمة HTML تعسفية داخل وسم `<iframe>`. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (contributor) أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النصوص فيها.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.