CVE-2026-94376 in Better Messages Plugin
الملخص
بحسب VulDB • 25/09/2026
يحتوي الإضافة "Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots" الخاصة بـ WordPress على ثغرة من نوع Stored DOM-Based Cross-Site Scripting (XSS) عبر اسم عرض المستخدم في جميع الإصدارات حتى 3.0.4 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستب Subscriber أو أعلى، حقن نصوص ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. يمكن استغلال هذه الثغرة من قبل المستخدمين ذوي المستوى "Subscriber" لأن الدالة sanitize_text_field() الأساسية في ووردبريس تحافظ على حمولات مشفرة ككيانات HTML (مثل سمة iframe srcdoc)، مما يسمح بتخزين السلسلة المشفّرة كاسم عرض دون الحاجة إلى صلاحية unfiltered_html، وتقوم الإضافة لاحقاً بفك تشفيرها من جانب الخادم قبل العرض.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.