CVE-2026-15407

إصدارات Themify Builder الأقدم من 7.7.8

يوجد ثغرة في تجاوز إجراءات التفويض، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى استبدال أو حذف ملفات أوراق أنماط CSS التي تم إنشاؤها لمنشورات عشوائية، بما في ذلك المنشورات الخاصة والمسودات التي تخص مستخدمين آخرين، وتعديل خيارات الخطوط الخاصة بالمكوّن الإضافي. ويتم تسهيل ذلك بواسطة الرقم العشوائي CSRF tf nonce، الذي يتم الكشف عنه على صفحات واجهة المستخدم العامة للمكوّن الإضافي عبر wp localize script، مما يسمح لأي مستخدم مصادق عليه بالحصول عليه.

قم بتحديث Themify Builder إلى الإصدار 7.7.8 أو أحدث.