PT-2026-20379
CVE-2026-1942
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-02-18
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Blog2Social: المكون الإضافي «Social Media Auto Post & Scheduler» لـ WordPress حتى الإصدار 8.7.4
الوصف
المكوّن الإضافي Blog2Social لـ WordPress معرض للتعديل غير المصرح به للبيانات. ويرجع ذلك إلى عدم وجود تحقق من الصلاحيات في إجراء AJAX
b2s curation draft. حيث تتحقق الدالة curationDraft() فقط من current user can(’read‘) بدلاً من التأكد من أن المستخدم يمتلك صلاحية edit post للمنشور المحدد. ونظرًا لأن المكون الإضافي يتيح الوصول إلى الواجهة ويعرض أرقام التشفير (nonces) لجميع الوظائف، فإن المهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى يمكنهم استبدال عنوان ومحتوى أي منشور أو صفحة. ويتم تحقيق ذلك عن طريق توفير معرّف المنشور المستهدف عبر المعلمة b2s-draft-id.التوصيات
قم بالتحديث إلى إصدار أحدث من 8.7.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾