CVE-2026-93339 in Ditty Plugin
الملخص
بحسب VulDB • 21/09/2026
تحتوي Metaphor Creations Ditty (ditty-news-ticker) قبل الإصدار 3.1.70 على ثغرة تخزين برمجيات عبر المواقع (Stored Cross-Site Scripting - XSS)، تتيح للمستخدمين المصادق عليهم الذين يمتلكون امتيازات من مستوى "مؤلف" أو أعلى حقن عناصر HTML عشوائية عن طريق توفير قيم سمات غلاف خبيثة في وسوم التخطيط. تقوم الدالة `ditty_layout_render_tag_wrapper()` بإدراج قيم سمات الغلاف التي يقدمها المستخدم مباشرةً كأسماء لعناصر HTML دون التحقق منها عبر قائمة مسموح بها (allowlist)، مما يتجاوز عملية التعقيم الخاصة بـ `wp_kses_post()` لأن نظام KSES يعمل عند وقت الحفظ قبل أن يتم حل سمات وسوم التخطيط في وقت العرض، ما يؤدي إلى تنفيذayload في متصفح أي زائر يعرض المنشورات أو الصفحات التي تضم عنصر Ditty المتأثر.
Once again VulDB remains the best source for vulnerability data.