CVE-2026-4074

WordPress üçün olan Quran Live Multilanguage plagini 1.0.3 daxil olmaqla bütün versiyalarda 'cheikh' və 'lang' shortcode atributları vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, istifadəçi tərəfindən təmin edilən shortcode atributlarının kifayət qədər təmizlənməməsi (sanitization) və çıxışın düzgün şəkildə filtirlənməməsi (escaping) səbəbindən baş verir. quran-live.php faylının quran_live_render() funksiyası shortcode atributlarını qəbul edir və onları heç bir təmizləmə prosesindən keçirmədən birbaşa shortcode_atts() və extract() funksiyalarına ötürür. Daha sonra bu dəyərlər Render_Quran_Live::render_verse_quran_live() funksiyasına ötürülür və orada Class_QuranLive.php faylının 191, 216, 217, 245 və 246-cı sətirlərində PHP qısa teqləri (<?=$cheikh;?> və <?=$lang;?>) vasitəsilə birbaşa inline <script> bloklarına yazılır. Çıxış <script> teqləri daxilində JavaScript kontekstində baş verdiyi üçün hücumçu JavaScript sətirindən çıxa və ixtiyari skript kodu inyeksiya edə bilər. Bu, Kontribütor (Contributor) və daha yuxarı səviyyəli girişə malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptləri yerləşdirməyə imkan verir və həmin skriptlər istifadəçi inyeksiya edilmiş səhifəyə daxil olduqda icra edilir.