PT-2025-47710
CVE-2025-13149
·
تاريخ النشر
2025-11-20
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories» لـ WordPress حتى الإصدار 4.9.1
الوصف
يحتوي المكون الإضافي Schedule Post Changes With PublishPress Future لـ WordPress على ثغرة تسمح بالتعديل غير المصرح به للبيانات. ويرجع ذلك إلى عدم وجود فحص للتفويض داخل الدالة
saveFutureActionData(). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المؤلف أو أعلى تغيير حالة أي منشور أو صفحة باستخدام نقطة نهاية واجهة برمجة التطبيقات (API) REST. تسمح هذه الثغرة الأمنية بتعديل المنشورات والصفحات عبر نقطة نهاية واجهة برمجة التطبيقات (API) ’‘/wp-json/publishpress/v1/future-action''. تُستخدم المتغير post id لتحديد المنشور أو الصفحة المستهدفة.التوصيات
قم بتحديث المكون الإضافي Schedule Post Changes With PublishPress Future إلى إصدار أحدث من 4.9.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾