PT-2026-33024
CVE-2026-4002
·
تاريخ النشر
2026-04-14
·
تاريخ التحديث
2026-04-24
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Petje.af السابقة للإصدار 2.1.9
الوصف
يتعرض المكون الإضافي لـ ”تزوير الطلبات عبر المواقع“ (Cross-Site Request Forgery)، وهو عيب يتمكن من خلاله المهاجم من خداع الضحية لتنفيذ إجراءات لم تكن في نيتها. يحدث هذا لأن الدالة
ajax revoke token()، التي تعالج إجراء AJAX ”petjeaf disconnect“، تفشل في تنفيذ التحقق من صحة الرمز العشوائي (nonce). الرمز العشوائي هو رمز فريد يُستخدم لضمان أن الطلب قد أُرسل عن قصد من قبل المستخدم. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم إجبار المستخدمين المصادق عليهم على إلغاء رموز OAuth2، وحذف بيانات تعريف المستخدم، وحذف حسابات مستخدمي WordPress لأولئك الذين يحملون دور petjeaf member عن طريق حثهم على النقر على رابط ضار أو زيارة موقع تم اختراقه.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.1.8.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة
ajax revoke token() حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾