CVE-2026-9008

المكوّن الإضافي Page-list لإصدارات WordPress السابقة للإصدار 6.3

يحدث نقص في إجراءات المصادقة في الدالة pagelist unqprfx ext shortcode()، وتحديدًا داخل الرموز المختصرة ’[pagelist ext]‘ و'[pagelistext]'. تقبل الدالة سمات post status وpost type وshow meta key التي يتحكم فيها المهاجم، وتمررها مباشرةً إلى get pages() وget post meta() دون التحقق مما إذا كان المستخدم يمتلك الصلاحيات اللازمة لقراءة الكائنات المطابقة. إذا كانت المشاركة الحالية تفتقر إلى صفحات فرعية، يتم إعادة إصدار الاستعلام مع تعيين child of على 0، مما يوسع نطاق البحث ليشمل جميع الصفحات على الموقع التي تتطابق مع الحالة والنوع المحددين. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بالكشف عن العناوين ومحتوى النص والمقتطفات وبيانات تعريف المشاركة التعسفية للصفحات الخاصة والمسودات، وذلك عن طريق إدراج الرمز المختصر في مسودة ومعاينتها.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 6.2.