PT-2026-54509
CVE-2026-12158
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-07-01
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
RegistrationMagic – إصدارات المكون الإضافي «نماذج تسجيل المستخدمين» الأقدم من 6.0.9.2
الوصف
تتعلق هذه المشكلة بثغرة من نوع «تزوير الطلبات عبر المواقع» (CSRF)، والتي تحدث عندما يفشل تطبيق الويب في التحقق من أن الطلب قد تم إطلاقه عن قصد من قبل المستخدم. يوجد هذا الخلل في الدالة
process request() بسبب عدم وجود التحقق من صحة الرمز العشوائي (nonce) أو وجود خطأ فيه. يمكن لمهاجم غير معتمد استغلال هذا الخلل عن طريق خداع مسؤول الموقع للنقر على رابط ضار، مما يسمح للمهاجم بترقية امتيازات مقدم النموذج إلى مستوى المسؤول عن طريق إنشاء مهمة أتمتة Chronos ضارة يتم تنفيذها عبر cron في WordPress.التوصيات
قم بتحديث المكون الإضافي RegistrationMagic – User Registration Forms إلى الإصدار 6.0.9.2 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة
process request() لمنع الطلبات غير المصرح بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾