CVE-2026-15155

إصدارات «Essential Addons for Elementor» السابقة للإصدار 6.6.11

يؤدي عدم كفاية التحقق من صحة إعدادات أداة ”تسجيل الدخول/التسجيل“ من جانب الخادم إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المساهم“ أو أعلى بتنفيذ ”حقن رأس البريد الإلكتروني“. لا يتم فرض القيود على القيم المسموح بها إلا في واجهة مستخدم المحرر من جانب العميل، وتفشل عملية التنقية في إزالة أو ترميز أحرف ’العودة‘ (CR) و”تغذية السطر“ (LF). وهذا يسمح بحقن تسلسلات CRLF في رؤوس البريد الأولية، مما يمكّن المهاجم من إضافة رأس «نسخة مخفية» (Bcc) إلى رسالة البريد الإلكتروني الخاصة بإشعار إعادة تعيين كلمة مرور مسؤول WordPress. ومن خلال تلقي نسخة من رابط إعادة تعيين كلمة المرور الصالح، يمكن للمهاجم الاستيلاء الكامل على حساب المسؤول.

قم بالتحديث إلى الإصدار 6.6.11 أو أحدث.