كل الثغرات
CVE-2026-19719
متوسطة
CVSS 6.8
Social Media Share Buttons — ثغرة XSS مخزَّنة عبر عنوان المقال (صلاحية Contributor فأعلى)
| المورّد | UltimatelySocial |
|---|---|
| المنتج | Social Media Share Buttons & Social Sharing Icons (Ultimate Social Media Icons) |
| النسخ المتأثرة | < 3.0.1 |
| صنف الضعف | CWE-79 |
| متجه CVSS | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H |
| تاريخ الإبلاغ | 2026-08-13 |
| تاريخ الإفصاح | 2026-08-31 |
| الحالة | منشورة |
الإضافة لا تقوم بتنقية (escape) عنوان المقال (Post Title) قبل طباعته داخل معالج حدث JavaScript مضمن، مما يسمح للمستخدمين بصلاحية Contributor فأعلى بحقن ثغرة Stored XSS تنفذ عند تفاعل الزائر مع زر المشاركة المتأثر. استغلال الثغرة يتطلب إعداد غير افتراضي لعرض الأيقونات.
الأثر
يستطيع مستخدم مصادَق بصلاحية منخفضة (Contributor فأعلى) زرع كود خبيث في عنوان مقال يُنفَّذ في متصفح أي زائر أو مستخدم بصلاحية أعلى (محرّر أو مدير) يشاهد زر المشاركة المتأثر، بما يتيح تصعيد الصلاحيات عبر اختطاف الجلسة أو الاستيلاء على حساب المدير أو زرع باب خلفي.
إفصاحات ذات صلة
عالية
Social Media Share Buttons — ثغرة XSS منعكسة عبر معالج مشاركة Pin It
متوسطة
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
عرض الكل