CVE-2026-14158

إصدارات Widget Logic Visual الأقدم من 1.53

يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى تنفيذ تعليمات برمجية عن بُعد على الخادم. تحدث المشكلة أثناء إجراء AJAX widget-logic-update-conditional-tags بسبب عدم وجود فحص للقدرات والتحقق من الرقم العشوائي في الدالة widget logic visual check visibility(). بالإضافة إلى ذلك، لا يتم تنقية المعلمة nwlv[cod-tag] بشكل كافٍ قبل تخزينها ومعالجتها لاحقًا بواسطة استدعاء eval()، الذي ينفذ الكود المقدم.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.52.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراء AJAX widget-logic-update-conditional-tags أو قم بتحديد أذونات المستخدمين لمنع المشتركين من الوصول إلى إعدادات عناصر واجهة المستخدم.