PT-2026-67942
CVE-2026-11421
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ERP: مجموعة كاملة لبرامج الموارد البشرية والمحاسبة وإدارة علاقات العملاء (CRM) مع دعم WooCommerce CRM، الإصدارات السابقة لـ 1.17.5
الوصف
توجد مشكلة تسمح للمهاجمين المصادق عليهم الذين يحملون دور «CRM Agent» أو دور «CRM Manager» أو امتيازات مسؤول WordPress، بالإضافة إلى الصلاحية
erp crm list contact، بتنفيذ هجوم حقن SQL. يحدث هذا لأن المعلمة erpadvancefilter لم يتم تهريبها بشكل كافٍ ولم يتم إعداد استعلام SQL المقابل بشكل صحيح. يستخدم المعالج دالة sanitize text field، التي تسمح باستمرار وجود علامات الاقتباس المفردة، وتقوم الدالة erp crm contact advance filter() بإدراج هذه القيمة مباشرةً في جملة WHERE في SQL محاطة بعلامات اقتباس مفردة يتم تنفيذها عبر $wpdb->get results(). وهذا يسمح للمهاجمين بإلحاق استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.17.4.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة
erpadvancefilter للمستخدمين الذين يحملون دور وكيل CRM. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾