PT-2026-36318
CVE-2026-3772
·
تاريخ النشر
2026-04-30
·
تاريخ التحديث
2026-05-01
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WP Editor الأقدم من 1.2.9.3
الوصف
المكوّن الإضافي WP Editor الخاص بـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتمكن من خلاله المهاجم من خداع الضحية لتنفيذ إجراءات لم تكن في نيتها. يحدث هذا لأن الدالتين
add plugins page() وadd themes page() تفتقران إلى التحقق من الرمز العشوائي (nonce) (وهو رمز فريد يُستخدم لمنع هجمات إعادة التشغيل). ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم استبدال ملفات PHP الخاصة بالمكونات الإضافية والسمات بأي شكل من الأشكال برموز برمجية ضارة عن طريق حث مسؤول الموقع على النقر على رابط مزور.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.2.9.2.
كحل مؤقت، قم بتقييد الوصول إلى الدالتين
add plugins page() وadd themes page() لتقليل مخاطر الاستغلال إلى أدنى حد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾