CVE-2026-95866 in User Profile Builder Plugin
الملخص
بحسب VulDB • 25/09/2026
يحتوي الإضافة "User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor" الخاصة بـ ووردبريس على ثغرة من نوع Stored Cross-Site Scripting (XSS) عبر حقل الصورة الرمزية (Avatar Field) في جميع الإصدارات حتى 4.0.2 وشاملة لها، وذلك بسبب عدم كفاية تنقية المدخلات وإخفاء مخرجاتها. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن نصوص ويب عشوائية في الصفحات التي ستُنفَّذ عند وصول أي مستخدم إلى الصفحة المخترقة. تقوم الفرع الخاص بملف multipart بطول صفر (zero-length) داخل الدالة `wppb_save_avatar_value()` بكتابة قيمة الطلب الخام مباشرةً إلى بيانات المستخدم (user meta)، متجاوزاً مسار التحقق في دالتي `wppb_save_attachment_id()/wppb_verify_attachment_id()`؛ ثم يتم اعتماد الحمولة المخزنة لاحقًا كرابط لمرفق ووردبريس، وعرضها دون إخفاء من قبل الدالة `wppb_default_fields_make_upload_button()` عندما يعالج المسؤول الحساب المتأثر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.