PT-2026-24913
CVE-2026-3657
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات My Sticky Bar حتى الإصدار 2.8.6 ضمناً
الوصف
المكوّن الإضافي My Sticky Bar الخاص بـ WordPress معرض لخطر حقن SQL من خلال إجراء AJAX
stickymenu contact lead form. ويحدث ذلك لأن المعالج يستخدم مباشرةً أسماء معلمات POST التي يتحكم فيها المهاجم كمعرفات أعمدة SQL داخل الدالة $wpdb->insert(). على الرغم من أن قيم المعلمات يتم تنقيتها باستخدام esc sql() وsanitize text field()، إلا أن مفاتيح المعلمات تُستخدم دون تعديل عند إنشاء قائمة الأعمدة في جملة INSERT. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كود SQL من خلال أسماء معلمات مصممة خصيصًا، مما قد يتيح استخراج البيانات بشكل أعمى بناءً على الوقت من قاعدة البيانات. نقطة نهاية واجهة برمجة التطبيقات (API) المعنية هي stickymenu contact lead form. يستخدم المكون المعرض للخطر معلمات POST، حيث تُستخدم أسماء المعلمات مباشرةً كمُعرفات أعمدة SQL.التوصيات
يجب تحديث الإصدارات حتى الإصدار 2.8.6 (بما في ذلك هذا الإصدار) إلى إصدار أحدث تم إصلاحه، إن كان متاحًا. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾