CVE-2025-1435

المكوّن الإضافي bbPress لـ WordPress في الإصدارات الأقدم من 2.6.12

تتعلق المشكلة بتزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة bbp user add role on register(). وهذا يسمح للمهاجمين غير المصادق عليهم برفع امتيازاتهم إلى مستوى «Keymaster» في bbPress، من خلال حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط. يتم التخفيف من هذه الثغرة الأمنية عن طريق إزالة إمكانية اختيار الدور أثناء التسجيل، بدلاً من تنفيذ التحقق من «nonce».

بالنسبة للإصدارات الأقدم من 2.6.12، قم بالتحديث إلى الإصدار 2.6.12 أو أحدث، والذي لم يعد يسمح باختيار الدور أثناء التسجيل، مما يحد من المشكلة.