CVE-2026-15445

إصدارات SEO Booster الأقدم من 7.3.2

توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى بتنفيذ هجوم حقن SQL قائم على الوقت. ويحدث ذلك بسبب عدم إجراء عملية «إسكيب» كافية للمعلمة orderby وعدم إعداد استعلام SQL بشكل صحيح. على الرغم من استخدام esc sql() وsanitize text field()، إلا أنهما لا يعطلان كلمات SQL الرئيسية، أو الفواصل، أو الأقواس، أو بناء جملة الاستعلام الفرعي داخل سياق ORDER BY غير المحاط بعلامات اقتباس، مما يسمح للمهاجم بالتحكم في الجملة لاستخراج معلومات حساسة من قاعدة البيانات.

قم بتحديث SEO Booster إلى الإصدار 7.3.2 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول على مستوى المسؤول إلى إعدادات المكون الإضافي لتقليل مخاطر الاستغلال إلى أدنى حد.