PT-2026-36567
CVE-2026-6446
·
تاريخ النشر
2026-05-01
·
تاريخ التحديث
2026-05-02
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
My Social Feeds – إصدارات Social Feeds Embedder الأقدم من 1.0.5
الوصف
يتعرض المكون الإضافي لخطر الكشف عن المعلومات الحساسة عبر إجراء AJAX المسمى «ttp get accounts». تفتقر الدالة
get accounts() إلى عمليات التحقق من التفويض والتحقق من الرمز العشوائي (nonce)، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك (Subscriber) أو أعلى باسترداد المحتوى الكامل لخيار WordPress ttp tiktok accounts. ويشمل ذلك بيانات اعتماد OAuth الحساسة الخاصة بـ TikTok، وتحديدًا قيم access token وrefresh token من الحسابات المرتبطة بالمسؤول، والتي يمكن استخدامها لانتحال صفة مالك الموقع عند التفاعل مع واجهة برمجة تطبيقات TikTok (API).التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.4.
كحل مؤقت، قم بتقييد الوصول إلى إجراء AJAX «ttp get accounts» لمنع المستخدمين غير المصرح لهم من استدعاء الدالة
get accounts(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾