PT-2026-21893
CVE-2026-2301
·
تاريخ النشر
2026-02-24
·
تاريخ التحديث
2026-02-25
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Post Duplicator لـ WordPress حتى الإصدار 3.0.8 بما في ذلك
الوصف
يُعتبر المكون الإضافي Post Duplicator لـ WordPress عرضة لتعديل غير مصرح به للبيانات الوصفية للمنشورات المحمية. ويرجع ذلك إلى أن الدالة
duplicate post() تستخدم مباشرةً $wpdb->insert() في الجدول wp postmeta، متجاهلةً الدالة القياسية add post meta() والتحقق المرتبط بها is protected meta(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول بمستوى «مساهم» أو أعلى بإدخال مفاتيح بيانات وصفية محمية عشوائية، مثل wp page template و wp attached file، في المنشورات المكررة. يمكن استغلال هذه الثغرة من خلال معلمة مصفوفة JSON customMetaData في نقطة نهاية واجهة برمجة التطبيقات (API) /wp-json/post-duplicator/v1/duplicate-post.التوصيات
قم بتحديث المكون الإضافي Post Duplicator إلى إصدار أحدث من 3.0.8.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾