CVE-2026-116615

اسم البرنامج المصاب والإصدارات المتأثرة Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets الإصدارات السابقة لـ 4.2.6.2

الوصف يمكن حدوث حقن للكود عبر المعلمة post content بسبب تحليل غير متماثل بين فلتر الإزالة عند الحفظ (widgetopts strip logic from blocks()) ومحلل وقت العرض (blockopts filter before display()). من خلال تضمين حرف <!--start widgetopts داخلي داخل مفتاح JSON، تفشل وظيفة json decode في جانب الكتابة في التعرف على مفتاح class وتتخطى عملية الإزالة، مما يسمح بتخزين الحمولة في قاعدة البيانات. أثناء العرض، يقوم str replace بإعادة تكوين المفتاح إلى class وتمرير قيمة logic التي يتحكم فيها المهاجم مباشرة إلى @eval. يمكن للمهاجمين المصرح لهم بصلاحيات مؤلف (Author) أو أعلى حقن تعبيرات PHP يتم تنفيذها عند كل عرض للصفحة الأمامية. يتيح ذلك استخراج بيانات تكوين الموقع عبر oráculo booleano، مثل عناوين البريد الإلكتروني للمسؤولين والأدوار الافتراضية، باستخدام get option و get user meta و get post meta. يمكن أن يتطور ذلك إلى تنفيذ غير مقيد للكود إذا قام أي Plugin مثبت بتوسيع فلتر widgetopts allowed php functions. بالإضافة إلى ذلك، يمكن للمساهمين (Contributors) استغلال ذلك إذا قام المسؤول بنشر مشاركتهم. يتم تنفيذ الحمولة لجميع الزوار، بما في ذلك المستخدمين غير المصرح لهم، لأن آلية علامة الثقة في الإصدار 4.2.6 تجعل widgetopts safe eval trusted() يتجاوز دائرة القصر الخاصة بغير المسؤولين.

التوصيات تحديث Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets إلى الإصدار 4.2.6.2 أو أحدث.