CVE-2025-13401: Autoptimize <= 3.1.13 - مصادَق عليه (مساهم+) ثغرة برمجة نصية عبر المواقع مخزّنة | Kitploit

CVE-2025-13401

متوسطتم النشر

Autoptimize <= 3.1.13 - مصادَق عليه (مساهم+) ثغرة برمجة نصية عبر المواقع مخزّنة

تم النشر: 03‏/12‏/2025
محدث: 08‏/04‏/2026
تخصيص CNA: Wordfence
الأدلة المرصودة: 06‏/08‏/2026

CVSS الأساسي

6.4/ 10متوسط

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

تقدير احتمالية EPSS

0.3‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 22.2‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

المكوّن الإضافي Autoptimize لمنصة ووردبريس (WordPress) عرضة لثغرة البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) عبر الصندوق الوصفي (metabox) الخاص بـ LCP Image to preload في جميع الإصدارات حتى الإصدار 3.1.13 وما يشمله، وذلك بسبب عدم كفاية تعقيم المدخلات وهروب المخرجات في سمات الصور المقدمة من المستخدم داخل دالة "create_img_preload_tag". وهذا يتيح للمهاجمين المصادَق عليهم، ممن يملكون صلاحية مستوى المساهم (contributor) أو أعلى، حقن نصوص برمجية ويب عشوائية في الصفحات، بحيث تُنفَّذ عند وصول أي مستخدم إلى صفحة مخترَقة.

المصادر

CVE-2025-13401-XSS-StoredPoC
إثبات المفهوم لثغرة XSS مخزنة بعد المصادقة في Autoptimize < 3.1.14، تستغل عدم كفاية تنظيف السمات في إنشاء علامة التحميل المسبق للصور.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.