CVE-2026-11616

المكوّن الإضافي «Events Calendar for GeoDirectory» لإصدارات WordPress السابقة للإصدار 2.3.29

يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى رفع امتيازاتهم إلى مستوى المسؤول. يحدث هذا لأن معالج ajax ayi action() يفشل في استخدام قائمة السماح عند معالجة المتغيرين type وpostid من المصفوفة $ POST، حيث يطبق فقط strip tags(esc sql()) قبل تمريرهما إلى الدالة update ayi data(). تستدعي هذه الدالة لاحقًا update user meta()، مما يسمح للمهاجم بكتابة [’subscriber‘=>true,’administrator‘=>’administrator‘] في بيانات المستخدم الوصفية الخاصة به wp capabilities عن طريق تعيين type إلى wp capabilities وpostid إلى administrator. ونتيجة لذلك، تتعرف WP User::get role caps() على المفتاح administrator باعتباره دورًا نشطًا خلال الطلب التالي.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.3.28.