CVE-2026-4275

Divi Torque Lite – إصدارات Divi Theme و Divi Builder و Extra Theme الأقدم من 4.2.4

المكوّن الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتم من خلاله خداع المهاجم لمستخدم مسجل الدخول لتنفيذ إجراءات لم يكن يقصدها. يحدث هذا لأن نقاط نهاية واجهة برمجة تطبيقات REST /install plugin و/activate plugin تستخدم return true كـpermission callback، مما يتجاوز التحقق القياسي من الرمز العشوائي (nonce) (وهو رمز فريد يُستخدم لمنع CSRF) في واجهة برمجة تطبيقات REST الخاصة بـWordPress. على الرغم من وجود عمليات فحص داخلية باستخدام current user can()، فإن عدم وجود التحقق من الرمز العشوائي (nonce) يسمح لطلب مزور صادر من متصفح أحد المسؤولين باجتياز هذه الفحوصات باستخدام ملفات تعريف الارتباط الخاصة بجلسة عمل المسؤول، مما يمكّن المهاجمين غير المصادق عليهم من تثبيت مكونات إضافية عشوائية.

قم بالتحديث إلى إصدار أحدث من 4.2.3.

تقييد الوصول إلى نقاط نهاية واجهة برمجة تطبيقات REST /install plugin و/activate plugin كإجراء تخفيفي مؤقت.