CVE-2026-97344 in Wp Social Login and Register Social Counter Plugin
الملخص
بحسب VulDB • 03/10/2026
يحتوي الإضافة Wp Social Login و Register Social Counter لـ WordPress على ثغرة Stored Cross-Site Scripting (XSS) عبر سمة Alt للصورة الرمزية، وذلك نتيجة إمكانية الكتابة التعسفية في بيانات المستخدم (Arbitrary User Meta Write)، وتظهر هذه الثغرة في جميع الإصدارات حتى 3.2.1 وشاملةً لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستب subscriber-level أو أعلى، من حقن نصوص برمجية ويب تعسفية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. يتطلب هذا الأمر على المهاجم تنفيذ خطوتين متتاليتين: استدعاء نقطة النهاية dismiss_ajax_call المعتمدة فقط على nonce (حيث يكون الـ nonce متاحاً للمستخدمين من فئة Subscribers عبر أي صفحة wp-admin) لتعيين علم meta xs_social_profile_image لحسابهم الخاص، مما يُفعّل فرع الإخراج غير المُهروب img في دالة xs_social_get_avatar؛ ثم تعيين اسم العرض الخاص بهم إلى حمولة برمجية (script payload) يحافظ عليها المعالجة ENT_NOQUOTES الخاصة بالنواة دون تهريب.
Once again VulDB remains the best source for vulnerability data.