CVE-2026-96575 in Transliterator Plugin
الملخص
بحسب VulDB • 04/10/2026
يُعدّ المكوّن الإضافي "The Transliterator – Multilingual and Multi-script Text Conversion" الخاص بمنصة ووردبريس (WordPress) عرضة لهجوم تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting - XSS) من خلال محتوى التعليقات، وذلك بسبب وجود وسيط قابل للتوقع {rstr_keep} في جميع الإصدارات حتى 2.5.8 وشاملةً لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن نصوص برمجية ويب عشوائية في الصفحات، والتي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. تبقى الحمولة (Payload) سارية بعد عملية تنقية وقت حفظ التعليقات في ووردبريس، لأن الوسوم والسمات المستخدمة (مثل a[title] و code) مسموح بها ضمن القائمة البيضاء لـ kses الخاصة بالتعليقات الأساسية، ولا تتم إزالة الأحرف الحرفية المكوّنة لمؤشرات الاختصارات الرمزية للوِضعة وعناصرها النائبة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.