ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
إضافة FeedWordPress المخصصة لـ WordPress عرضة للبرمجة النصية عبر الموقع المخزنة في الإصدارات حتى 2026.0517 ضمناً عبر محتوى تغذية RSS/Atom المجمع. تقوم دالة SyndicatedPost::sanitize_content() في الإضافة بإزالة سمة 'target' فقط (بينما يتم التعليق على الأسطر التي تزيل سمات 'style' وسمات معالجة الأحداث 'on[a-z]+')، وتقوم دالة SyndicatedPost::insert_post() بإزالة مرشحات wp_filter_kses وwp_filter_post_kses الخاصة بـ WordPress متعمدةً من content_save_pre قبل استمرار عناصر التغذية المستوردة عبر wp_insert_post(). هذا يجعل من الممكن للمهاجمين دون مصادقة الذين يتحكمون في تغذية خارجية اشترك فيها الموقع مسبقًا حقن شيفرات وسب عشوائية في الصفحات والتي ستنفذ كلما قام المستخدم بالوصول إلى صفحة محقونة.
المعالجة
المراجع
- مرجعhttps://plugins.trac.wordpress.org/browser/feedwordpress/
- مرجعhttps://plugins.trac.wordpress.org/browser/feedwordpress/tags/2026.0517/syndicatedpost.class.php#L1196
- مرجعhttps://plugins.trac.wordpress.org/browser/feedwordpress/tags/2026.0517/syndicatedpost.class.php#L1726
- مرجعhttps://plugins.trac.wordpress.org/browser/feedwordpress/tags/2026.0517/syndicatedpost.class.php#L395
- مرجعhttps://plugins.trac.wordpress.org/browser/feedwordpress/tags/2026.1016/syndicatedpost.class.php
- مرجعhttps://www.wordfence.com/threat-intel/vulnerabilities/id/cad2334c-21f5-40bc-8b08-32c12ce1e077?source=cve