CVE-2025-1321

المكوّن الإضافي teachPress لـ WordPress، الإصدارات حتى 9.0.7 (بما في ذلك)

تسمح هذه الثغرة للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «مساهم» أو أعلى بتنفيذ حقن SQL عبر المعلمة order في الرمز المختصر ”tpsearch“. ويرجع ذلك إلى عدم كفاية عملية التهرب (escaping) في المعلمة order التي يقدمها المستخدم، وعدم وجود إعداد مناسب في استعلام SQL الحالي، مما يتيح استخراج معلومات حساسة من قاعدة البيانات.

بالنسبة للإصدارات حتى 9.0.7 (بما في ذلك)، قم بالتحديث إلى إصدار يتضمن تصحيحًا لهذه المشكلة لمنع هجمات حقن SQL. كإجراء مؤقت، يُنصح بتقييد الوصول إلى الرمز المختصر ”tpsearch“ على المستخدمين الذين يتمتعون بمستوى وصول «مساهم» أو أعلى حتى يتوفر تصحيح. تجنب استخدام المعلمة order في الرمز المختصر ”tpsearch“ حتى يتم حل المشكلة.