كل الثغرات
CVE-2026-81813
متوسطة
CVSS 6.8
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
| المورّد | Elementor |
|---|---|
| المنتج | Elementor Website Builder (elementor) – WordPress plugin |
| النسخ المتأثرة | < 4.3.5 (Fixed in 4.3.5) |
| صنف الضعف | CWE-79 |
| متجه CVSS | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H |
| تاريخ الإبلاغ | 2026-09-25 |
| تاريخ الإفصاح | 2026-10-19 |
| الحالة | منشورة |
معقم ملفات SVG بإضافة Elementor يفحص العناصر والخصائص فقط ويتجاهل المحتوى النصي للملف. يگدر مستخدم بصلاحية Contributor أو أعلى يرفع ملف SVG يحتوي محتوى CDATA يتجاوز المعقم وينفّذ JavaScript لما ينعرض الملف داخل الصفحة. التنفيذ يشتغل على المتصفحات المبنية على Chromium، وFirefox غير متأثر.
الأثر
تنفيذ JavaScript عشوائي بمتصفح أي زائر أو مدير يفتح الصفحة المتأثرة، وهذا ممكن يوصل لسرقة الجلسات، وتنفيذ إجراءات باسم المدير، والسيطرة الكاملة على الموقع.
إفصاحات ذات صلة
عالية
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
متوسطة
Kirki من 6.0.0 إلى 6.3.0 – ثغرة XSS مخزنة عبر رفع ملفات SVG غير معقمة (صلاحية Author فما فوق)
عرض الكل