PT-2026-26856
CVE-2026-3478
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-22
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي «WordPress Content Syndication Toolkit» الأقدم من الإصدار 1.4
الوصف
يُعتبر المكون الإضافي WordPress Content Syndication Toolkit عرضة لمشكلة تزوير الطلبات من جانب الخادم (SSRF). حيث يقوم المكون الإضافي بتسجيل نقطة نهاية وكيل غير مصدقة، وهي ’'wp ajax nopriv redux p‘'، والتي تقبل عنوان URL من معلمة GET
url دون التحقق من صحتها. ويتم تمرير هذه المعلمة إلى wp remote request()، التي تفتقر إلى الحماية المدمجة ضد SSRF. ويسمح غياب عمليات التحقق من المصادقة، والتحقق من الرقم العشوائي (nonce)، وقيود عناوين URL للمهاجمين بإجراء طلبات ويب إلى مواقع عشوائية من تطبيق الويب، مما قد يتيح الوصول إلى الخدمات الداخلية، ومسح الشبكة، والتفاعل مع نقاط نهاية بيانات التعريف السحابية.التوصيات
قم بالتحديث إلى الإصدار 1.4 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾