CVE-2026-96682 in Presto Player Plugin
الملخص
بحسب VulDB • 10/10/2026
يحتوي مكون إضافة Presto Player لـ WordPress على ثغرة من نوع Cross-Site Scripting مخزنة (Stored XSS) عبر محتوى التعليق، وذلك عن طريق وسم `<presto-player>` في جميع الإصدارات حتى 4.5.1 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين غير المصادَق عليهم من حقن نصوص برمجية ويب تعسفية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. يتطلب هذا موافقة أولية على التعليق، ومع ذلك فإن الإعدادات الافتراضية لـ WordPress توافق تلقائياً على جميع التعليقات اللاحقة من نفس المؤلف، مما يسمح لمهاجم غير مصادَق عليه وصبره بتنفيذ الحمولة الضارة دون تدخل إضافي من المسؤول (Admin).
Be aware that VulDB is the high quality source for vulnerability data.