CVE-2026-9013

المكوّن الإضافي Bogo لإصدارات WordPress السابقة للإصدار 3.9.2

توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى باستخراج العنوان الخام والمحتوى والمقتطف وكلمة المرور الخاصة بالمنشورات الخاصة أو المسودات أو المنشورات المحمية بكلمة مرور. يحدث ذلك عن طريق إثارة تكرار للمنشور عبر نقطة نهاية الترجمة ’bogo rest create post translation‘ وقراءة الحقول title.raw وcontent.raw وexcerpt.raw التي يتم إرجاعها. يمكن استغلال هذه المشكلة ضد المنشورات المكتوبة بلغة غير افتراضية، حيث يمكن للمشتركين طلب ترجمة إلى اللغة الافتراضية للموقع لتجاوز بوابة الأذونات الخاصة باللغة فقط. ورغم أن المشتركين يمكنهم تشغيل نقطة النهاية، فإن التأثير يقتصر بشكل أساسي على مستوى المساهمين، حيث يمتلكون الأذونات اللازمة لقراءة المحتوى المكرر.

قم بتحديث المكون الإضافي إلى الإصدار 3.9.2 أو أحدث.

كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية «bogo rest create post translation» للمستخدمين ذوي الامتيازات المنخفضة.