CVE-2024-13856

المكوّن الإضافي Make Builder لـ WordPress في الإصدارات الأقدم من 1.1.11

تسمح هذه الثغرة للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى بإرسال طلبات ويب إلى مواقع عشوائية انطلاقًا من تطبيق الويب. ويمكن استغلال ذلك للاطلاع على معلومات الخدمات الداخلية وتعديلها. وتعتبر الدالة make builder ajax subscribe() عرضة لـ «تزوير الطلبات من جانب الخادم» (SSRF).

بالنسبة للإصدارات الأقدم من 1.1.11، قم بالتحديث إلى الإصدار 1.1.11 أو أحدث لحل المشكلة.

كحل مؤقت، يُنصح بتعطيل الدالة make builder ajax subscribe() حتى يتوفر تصحيح.