كل الثغرات
CVE-2026-19615
متوسطة
CVSS 6.8
ثغرة XSS مخزَّنة عبر رفع ملف SVG غير معقَّم في إضافة ASE
| المورّد | WPease |
|---|---|
| المنتج | Admin and Site Enhancements (ASE) |
| النسخ المتأثرة | < 9.0.1 |
| صنف الضعف | CWE-79 |
| تاريخ الإبلاغ | 2026-08-18 |
| تاريخ الإفصاح | 2026-08-18 |
| الحالة | منشورة |
اكتشفتُ وأفصحتُ بمسؤولية عن الثغرة CVE-2026-19615، وهي ثغرة XSS مخزَّنة بصلاحية Author فأعلى في إضافة "Admin and Site Enhancements (ASE)". أخفقت الإضافة في تعقيم ملفات SVG المرفوعة عبر كل المسارات، بما فيها XML-RPC، ما يسمح لمستخدم مصادَق بتخزين كود JavaScript يُنفَّذ في متصفح أي شخص يفتح الملف. أُصلحت في الإصدار 9.0.1 (CVSS 6.8، CWE-79).
إفصاحات ذات صلة
متوسطة
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
عرض الكل