PT-2026-44747
CVE-2026-2128
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Breeze الأقدم من 2.5.3
الوصف
يحدث فحص غير سليم لملف تعريف الارتباط
wordpress logged in في الملف inc/cache/execute-cache.php عند تمكين الإعداد ”Cache Logged-in Users“ (تخزين المستخدمين المسجلين في ذاكرة التخزين المؤقت). يستخدم المكون الإضافي الدالة substr() لتحليل اسم المستخدم مباشرةً من قيمة ملف تعريف الارتباط لاسترداد ملف ذاكرة التخزين المؤقت، لكنه لا يتحقق من التوقيع التشفيري للجلسة أو صحتها باستخدام نواة WordPress. وهذا يسمح للمهاجمين غير المصادق عليهم باستخدام ملف تعريف ارتباط مُصمم خصيصًا لخداع المكون الإضافي لتقديم محتوى HTML مخزّن مؤقتًا مخصص للمسؤول. وقد يؤدي ذلك إلى الكشف عن معلومات حساسة، بما في ذلك المنشورات الخاصة وشريط الإدارة ورموز التشفير (nonces) الخاصة بـ WordPress.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.5.2.
كحل مؤقت، قم بتعطيل الإعداد ”تخزين المستخدمين المسجلين مؤقتًا“.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾