CVE-2026-93756 in Social Post Feed Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي مكون WordPress "Smash Balloon Social Post Feed – Simple Social Feeds for WordPress" على ثغرة في تنفيذ نصوص البرمجة عبر المواقع (XSS) المخزنة، وذلك عن طريق رسالة تعليق فيسبوك باستخدام `v-html` في معاينة مُنشئ لوحة التحكم (Admin Builder Preview)، وتؤثر هذه الثغرة في جميع الإصدارات حتى 4.13.0 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن نصوص برمجية ويب عشوائية ستُنفَّذ كلما قام مسؤول بالوصول إلى صفحة معاينة مُنشئ التغذية (feed builder). لا يتطلب هذا الهجوم سوى حساب فيسبوك لنشر تعليق على الصفحة المتصلة بفيسبوك، دون الحاجة إلى بيانات اعتماد WordPress؛ علاوةً على ذلك، فإن استخدام `v-show` بدلاً من `v-if` يعني أن HTML المُحقن — بما في ذلك معالجات الأحداث مثل `onerror` — يتم تقييمه في DOM حتى عندما لا يكون قسم التعليقات مُظهِراً بصرياً. وعند دمجه مع عدم وجود تحقق من صحة الروابط (URL validation) في معالج AJAX الخاص بـ `cff_install_addon` (الملف: admin/addon-functions.php)، يمكن لنص برمجي مُحقن يعمل ضمن جلسة مسؤول أن يُفعّل تثبيت إضافات عشوائية من عنوان URL يتحكم فيه المهاجم، مما قد يؤدي إلى تنفيذ كود على جانب الخادم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.