PT-2026-36971
CVE-2026-4362
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-05-05
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ElementsKit Elementor Addons الأقدم من 3.8.3
الوصف
المكوّن الإضافي معرض لتعديل البيانات دون إذن، وذلك لأن الدالة
Live Action::reset() تفتقر إلى فحص الصلاحيات. ترتبط هذه الدالة بإجراء init في WordPress ويتم تشغيلها عند توفير معلمات GET post وaction=elementor دون مصادقة أو التحقق من الرقم العشوائي (nonce). ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم الكتابة فوق محتوى elementor data لأي نوع منشور مخصص elementskit widget من خلال الوصول إلى عنوان URL مصمم خصيصًا لهذا الغرض، مما يؤدي إلى الاستبدال الدائم للتصميمات المخصصة والنصوص والتكوينات بقالب فارغ.التوصيات
قم بالتحديث إلى إصدار أحدث من 3.8.2.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
Live Action::reset() لتقليل مخاطر الاستغلال إلى أدنى حد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾