PT-2026-25157
CVE-2026-2257
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي GetGenie لـ WordPress حتى الإصدار 4.3.2
الوصف
المكوّن الإضافي GetGenie لـ WordPress معرض لمشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات» (Insecure Direct Object Reference) بسبب عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم داخل دالة
action. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» (Author) أو أعلى بتعديل البيانات الوصفية لأي منشور. ويمكن أن يؤدي عدم وجود عملية تنقية المدخلات، إلى جانب هذه المشكلة، إلى حدوث هجوم «Stored Cross-Site Scripting» (SXS) عندما يقوم مستخدم يتمتع بامتيازات أعلى، مثل «المسؤول»، بعرض علامة التبويب «Competitor» في الشريط الجانبي لـ GetGenie في منشور متأثر. والمعلمة المعرضة للخطر هي مفتاح يتحكم فيه المستخدم ويُستخدم في دالة action.التوصيات
قم بتحديث المكون الإضافي GetGenie إلى إصدار أحدث من 4.3.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾