PT-2026-27252
CVE-2026-4066
·
تاريخ النشر
2026-03-23
·
تاريخ التحديث
2026-03-24
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Smart Custom Fields» لـ WordPress حتى الإصدار 5.0.6 ضمناً
الوصف
يحتوي المكوّن الإضافي «Smart Custom Fields» لـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى البيانات. يؤدي عدم وجود فحص للصلاحيات داخل الدالة
relational posts search() إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بقراءة محتوى المنشورات الخاصة والمسودات الخاصة بمؤلفين آخرين. ويتم ذلك من خلال إجراء AJAX المسمى smart-cf-relational-posts-search، الذي يستعلم عن المنشورات بأي حالة ويُرجع كائنات المنشورات كاملة، بما في ذلك post content، لكنه يتحقق فقط من الصلاحية العامة edit posts بدلاً من أذونات الوصول الفردية للمنشورات.التوصيات
قم بتحديث المكون الإضافي Smart Custom Fields إلى إصدار أحدث من 5.0.6. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى إجراء AJAX
smart-cf-relational-posts-search حتى يتوفر تصحيح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾