CVE-2026-13464

إصدارات Kirki الأقدم من 6.0.15

يحتوي المكون الإضافي Kirki – Freeform Page Builder, Website Builder & Customizer الخاص بـ WordPress على ثغرة أمنية تُعرف باسم «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR). وتحدث هذه الثغرة بسبب عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم ضمن المعلمة context. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الخلل عن طريق توفير معرّف منشور عشوائي عبر المعلمة context وقالب كتلة يتحكم فيه المهاجم لقراءة العنوان الكامل والمحتوى والمقتطف من أي منشور في WordPress، بما في ذلك المسودات والمنشورات المعلقة والمنشورات التي تم نشرها بشكل خاص والمنشورات المحمية بكلمة مرور والمنشورات التي تم حذفها، بغض النظر عن المؤلف.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 6.0.14.

كإجراء تخفيفي مؤقت، قم بتقييد أو تصفية استخدام المعلمة context لمنع الوصول غير المصرح به إلى بيانات المنشورات.