CVE-2026-3480

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

المكوّن الإضافي WP Blockade لـ WordPress حتى الإصدار 0.9.14 بما في ذلك

الوصف

المكوّن الإضافي WP Blockade لـ WordPress معرض لمشكلة تتعلق بانعدام إجراءات المصادقة. يقوم المكوّن الإضافي بتسجيل خطاف إجراء admin post باسم «wp-blockade-shortcode-render» والذي يرتبط بالدالة render shortcode preview(). لا تقوم هذه الدالة بإجراء فحوصات الصلاحيات أو التحقق من الرمز العشوائي (nonce)، مما يسمح للمستخدمين المصادق عليهم بتنفيذ أكواد قصيرة (shortcodes) عشوائية في WordPress. تسترد الدالة معلمة shortcode التي يزودها المستخدم من طلب $ GET، وتعالجها باستخدام stripslashes()، ثم تنفذها مباشرةً باستخدام do shortcode(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتنفيذ أكواد قصيرة تعسفية، مما قد يؤدي إلى الكشف عن المعلومات، أو تصعيد الامتيازات، أو آثار أخرى اعتمادًا على الأكواد القصيرة المسجلة على الموقع.

التوصيات

الإصدارات حتى الإصدار 0.9.14 ضمناً: قم بالتحديث إلى إصدار أحدث من 0.9.14.