PT-2026-130626
CVE-2026-93904
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة The Social Web Suite – Social Media Auto Post, Social Media Auto Publish لـ WordPress الإصدارات السابقة لـ 4.1.13
الوصف
توجد ثغرة تسمح للمهاجمين غير المصرح لهم بتنفيذ حقن SQL (SQL Injection) عن طريق إلحاق استعلامات إضافية بالاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات. يحدث هذا بسبب عدم كفاية تنقية البيانات المدخلة من قبل المستخدم وعدم تحضير استعلام SQL بشكل صحيح عبر المعلمة
exclude posts. بالإضافة إلى ذلك، يمكن تجاوز بوابة مصادقة HMAC (رمز مصادقة الرسائل القائم على التجزئة) التي تحمي نقطة النهاية في التثبيتات الجديدة إذا لم يقم المسؤول بزيارة صفحة الإعدادات بعد. في هذه الحالات، تظل secret key فارغة، مما يسمح للمهاجم بإنشاء رمز صالح باستخدام دالة hash hmac() مع أي طابع زمني مختار.التوصيات
تحديث الإضافة إلى إصدار أحدث من 4.1.12.
كإجراء تخفيف مؤقت، تجنب استخدام المعلمة
exclude posts حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾