PT-2026-33392
CVE-2026-3488
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-04-17
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WP Statistics السابقة للإصدار 14.16.5
الوصف
يعاني المكون الإضافي من ثغرة تتعلق بفقدان التفويض بسبب عدم إجراء فحوصات الصلاحيات على العديد من معالجات AJAX. نقاط النهاية المتأثرة هي ’wp statistics get filters‘ و'wp statistics getPrivacyStatus' و'wp statistics updatePrivacyStatus' و'wp statistics dismiss notices'. تقوم معالجات AJAX هذه بالتحقق من رقم عشوائي (nonce) لـ
wp rest، لكنها تفشل في فرض عمليات التحقق مثل current user can() أو طريقة User::Access(). ونتيجة لذلك، يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى الوصول إلى بيانات التحليلات الحساسة، بما في ذلك معرّفات المستخدمين وأسماء المستخدمين وعناوين البريد الإلكتروني وبيانات تتبع الزوار، بالإضافة إلى استرداد وتعديل حالة الامتثال لتدقيق الخصوصية وإغلاق الإشعارات الإدارية.التوصيات
قم بالتحديث إلى إصدار أحدث من 14.16.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾