PT-2026-136971
CVE-2026-119745
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة Sender لـ WordPress الإصدارات السابقة لـ 2.11.3
إضافة MultiVendorX لـ WordPress الإصدارات السابقة لـ 5.0.21
الوصف
يسمح خلل في التصريح المفقود لأي مستخدم مصادق عليه، بما في ذلك المشتركون، بالوصول إلى تفريغ تشخيصي حساس. يحدث هذا عندما تقوم الدالة
downloadDebugFile() بمعالجة إجراء admin post sender debug download دون التحقق من الصلاحيات أو الـ nonce أو ترويسة المرجع (referer). يمكن للمهاجم استخدام نقطة النهاية wp-admin/admin-post.php?action=sender debug download لاسترداد تفاصيل إصدار الخادم، وإصدارات PHP وWordPress وWooCommerce، والقائمة الكاملة للإضافات والقوالب النشطة، وإعدادات الإضافة بما في ذلك مفتاح مورد حساب Sender والبيانات الوصفية للحساب.التوصيات
تحديث إضافة Sender لـ WordPress إلى الإصدار 2.11.3 أو أحدث.
تحديث إضافة MultiVendorX لـ WordPress إلى الإصدار 5.0.21 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾