CVE-2025-14469

المكوّن الإضافي «Theme Editor» لإصدارات WordPress السابقة للإصدار 3.2

المكوّن الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتم من خلاله خداع الضحية من قبل المهاجم لتنفيذ إجراءات غير مرغوب فيها على تطبيق ويب. يحدث هذا بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) — وهو إجراء أمني يُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قبل المستخدم — في إجراء AJAX ms update. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الثغرة لتعديل أنماط CSS للسمات الفرعية عن طريق خداع المسؤول للنقر على رابط ضار.

قم بتحديث المكون الإضافي Theme Editor لـ WordPress إلى الإصدار 3.2 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراء AJAX ms update.