PT-2026-139233
CVE-2026-119155
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
wpForo Forum الإصدارات السابقة لـ 3.2.3
الوصف
يوجد ثغرة حقن SQL قائمة على الوقت (time-based SQL Injection) غير مصادق عليها بسبب عدم كفاية الهروب (escaping) للمدخلات التي يوفرها المستخدم وعدم التحضير المناسب لاستعلام SQL. يسمح هذا للمهاجمين بإضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. يستهدف الهجوم المعلمة
href[locale]. يتوفر الـ nonce المطلوب علنًا للزوار غير المصادق عليهم في أي صفحة من صفحات المنتدى عبر كائن JavaScript wpforo.nonces ، مما يتطلب فقط تحميل الصفحة للحصول عليه.التوصيات
التحديث إلى الإصدار 3.2.3 أو أحدث.
تجنب استخدام المعلمة
href[locale] حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾