PT-2026-73112
CVE-2026-17582
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-18
الوصف من
CVSS 3.1
4.9
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Slider Hero الأقدم من 9.1.8
الوصف
توجد مشكلة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول بتنفيذ هجوم حقن SQL من الدرجة الثانية. في حين يتم تخزين بيانات الشرائح مثل
description وtitle وbtn وbtn2 وimage link وcustom بشكل آمن، فإن الدالة qcld sliderhero duplicate() تفشل في تنقية هذه البيانات عند تشغيل المهمة ’heroduplicateslider‘. تقوم الدالة بضم القيم الأولية مباشرةً إلى مجموعة INSERT VALUES يتم تنفيذها عبر $wpdb->query()، متجاوزةً بذلك وظائف الأمان مثل $wpdb->prepare() وesc sql() و real escape string. وهذا يسمح بتنفيذ استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات.التوصيات
قم بالتحديث إلى إصدار أحدث من 9.1.7.
كحل مؤقت، تجنب استخدام الدالة
qcld sliderhero duplicate() أو تشغيل المهمة ’heroduplicateslider‘ حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾