CVE-2026-87869 in Filter Everything Plugin
الملخص
بحسب VulDB • 10/10/2026
يحتوي ملخص CVE هذا على ثغرة XSS من النوع Reflected (XSS المنعكس) في الإصدارات حتى 1.9.6 وشاملةً لها، من إضافة "Filter Everything — WordPress & WooCommerce Filters" الخاصة بـ WordPress. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخفاء المخرجات في الدالة `flrt_elementor_load_more_anchor()`. تقرأ هذه الدالة معلمات الاستعلام (query parameters) من المتغير `$_SERVER['REQUEST_URI']` عبر استدعاء `getFormActionOrFullPageUrl(true)`، ثم تقوم بفك تشفيرها باستخدام URL-decode عن طريق دالة `parse_str()` وإعادة تركيبها باستخدام `build_query()` — وهي دالة أساسية في نواة WordPress لا تعيد ترميز القيم (`$urlencode=false`). يؤدي ذلك إلى إنشاء عنوان URL يحتوي على أحرف خاصة غير مُهْرَبَة (unescaped)، يتم حقنها داخل سمة HTML باسم `data-next-page` عبر استخدام `preg_replace()` دون تطبيق `esc_attr()` أو `esc_url()`. وهذا يمكّن المهاجمين الذين لم يقوموا بالمصادقة من حقن نصوص برمجية ويب تعسفية في الصفحات، والتي ستُنفَّذ إذا ما نجحوا في خداع مستخدم لإجراء إجراء معين مثل النقر على رابط مُصاغ بعناية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.