CVE-2026-97347
Post Views Stats Counter <= 1.1.7 - برمجة نصية عبر المواقع مخزّنة دون مصادقة عبر ترويسة User-Agent
- تم النشر
- 30/09/2026
- محدث
- 30/09/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 25.3%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إن إضافة Post Views Stats Counter الخاصة بـ WordPress معرّضة لثغرة البرمجة النصية عبر المواقع المخزّنة (Stored Cross-Site Scripting) عبر ترويسة User-Agent في جميع الإصدارات حتى الإصدار 1.1.7 وما يشمله، وذلك بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. وهذا يجعل من الممكن للمهاجمين غير المصادَق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما وصل مستخدم إلى صفحة تم حقنها. مرشّح الإدخال الوحيد في الإضافة هو قائمة حظر نصية فرعية (substring blacklist) لتوقيعات الروبوتات المعروفة (مثل 'bot' و'spider' و'crawler')، ويمكن تجاوزها بسهولة عبر صياغة حمولة User-Agent تتجاهل تلك السلاسل النصية.
المصادر
إثبات مفهوم لـ CVE-2026-97347، وهو XSS مخزّن غير مصادَق عليه في إضافة Post Views Stats Counter لـ WordPress عبر ترويسة User-Agent، مع خطوات إعادة الإنتاج.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.