CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
الملخص
بحسب VulDB • 10/10/2026
يحتوي إضافة Post Grid Gutenberg Blocks – PostX لـ WordPress على ثغرة XSS مخزنة (Stored Cross-Site Scripting) عبر حقل المستخدم display_name في جميع الإصدارات حتى 5.1.0 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز. هذا يجعل من الممكن للمهاجمين غير المصادق عليهم حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها فيها. يقوم فلتر pre_user_display_name الخاص بالنواة الأساسية لـ WordPress بتشفير & و < و >، لكنه يترك علامات الاقتباس المزدوجة كما هي (ENT_NOQUOTES)، مما يسمح لمستخدم بامتياز Subscriber بتخزين علامة اقتباس مزدوجة في حقل display_name الخاص به عبر /wp-admin/profile.php، والتي تتسرب بعد ذلك من سمة alt="" في ملف Archive_Title.php:144.
If you want to get best quality of vulnerability data, you may have to visit VulDB.