CVE-2026-92424
Content Egg < 11.9.0 - XSS مخزّن من Contributor+ عبر قائمة انتظار الاستيراد
- تم النشر
- 30/09/2026
- محدث
- 30/09/2026
- تخصيص CNA
- WPScan
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 13.8%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تُظهر إضافة Content Egg لـ WordPress قبل الإصدار 11.9.0 عدم التحقق من أن المستخدم الذي يشغّل ميزة استيراد المحتوى بالجملة مخوّل للاستخدام الإعداد المسبق للاستيراد الذي يختاره، وتنتقل إلى هوية مؤلف الإعداد المسبق قبل إنشاء المنشور الناتج، مما يسمح للمستخدمين ذوي صلاحية المساهم وما فوقها بتخزين نصوص برمجية ويب عشوائية دون تصفية تحت حساب مستخدم ذي امتيازات، تُنفَّذ في سياق أي شخص يعرض ذلك المحتوى لاحقًا.
المصادر
استشارة وإثبات مفهوم لـ CVE-2026-92424، وهو ثغرة XSS مخزّنة بمستوى Contributor في إضافة Content Egg لـ WordPress تنتحل شخصية مسؤول قبل إدراج المقالات.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.