PT-2026-42733
CVE-2026-7615
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-05-22
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Widget Context» لإصدارات WordPress السابقة للإصدار 1.3.4
الوصف
المكوّن الإضافي معرض لخطر «تزوير الطلبات عبر المواقع» (CSRF)، وهو ثغرة أمنية يتم فيها خداع الضحية من قِبل المهاجم لتنفيذ إجراءات غير مرغوب فيها. ويحدث ذلك لأن الدالة
save widget context settings() تفتقر إلى التحقق الصحيح من صحة الرمز العشوائي (nonce). الرقم العشوائي (nonce) هو رمز فريد يُستخدم للتحقق من أن الطلب قد أُرسل عن قصد من قبل المستخدم. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم تعديل إعدادات سياق ظهور عناصر واجهة المستخدم (widget) في جدول خيارات WordPress عن طريق إرسال طلب POST مزور إلى نقطة النهاية ’/wp-admin/widgets.php‘، شريطة أن يتمكنوا من خداع مسؤول الموقع للنقر على رابط ضار.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.3.3.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/wp-admin/widgets.php‘ أو الدالة
save widget context settings() لتقليل مخاطر الاستغلال إلى أدنى حد.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾