إفصاح منسّق

الثغرات

ثغرات اكتشفتها وأبلغت عنها عبر قناة المورّد المعلنة وتابعتها حتى الإصلاح. لا يُنشر شيء قبل انتهاء نافذة الإفصاح.

ملفي كباحث على Wordfence
CVE-2026-81813 Elementor < 4.3.5 (Fixed in 4.3.5)

Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA

معقم ملفات SVG بإضافة Elementor يفحص العناصر والخصائص فقط ويتجاهل المحتوى النصي للملف. يگدر مستخدم بصلاحية Contributor أو أعلى يرفع ملف SVG يحتوي محتوى CDATA يتجاوز المعقم وينفّذ JavaScript لما ينعرض...

منشورة
متوسطة 6.8
2026-10-19
CVE-2026-104641 Tips and Tricks HQ < 5.3.3

Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN

الإضافة، بإعداداتها الافتراضية، لا تتحقق إن إشعار PayPal IPN الواصل يخص دفعة استلمها حساب PayPal مالك الموقع. يستطيع مهاجم بدون تسجيل دخول يدفع لحساب PayPal يملكه هو، ويضع الإشعار يتقبل، فينعلم طلبه ب...

منشورة
متوسطة 5.3
2026-10-19
CVE-2026-19723 UltimatelySocial < 3.0.1

Social Media Share Buttons — ثغرة XSS منعكسة عبر معالج مشاركة Pin It

الإضافة لا تقوم بتنقية (escape) قيمة قادمة من الطلب بشكل صحيح قبل طباعتها داخل معالج حدث JavaScript مضمن، مما يسمح بثغرة XSS من نوع Reflected عند تفاعل المستخدم مع زر المشاركة المتأثر. استغلال الثغرة...

منشورة
عالية 7.1
2026-08-31
CVE-2026-84224 Kirki 6.3.2

Kirki قبل الإصدار 6.3.2 – ثغرة SSRF عمياء عبر عنوان URL لقالب بعيد

لا تتحقق إضافة Kirki في WordPress، قبل الإصدار 6.3.2، من اسم المضيف في عنوان URL قبل جلبه. وقد يتمكن مستخدم يمتلك صلاحية المحرر أو أعلى من جعل الخادم يرسل طلبات إلى خدمات داخلية يصعب الوصول إليها مباش...

منشورة
متوسطة
CVE-2026-77786 Rank Math < 1.0.277

تجاوز التحكم بالصلاحيات في إضافة Rank Math SEO

اكتشفتُ وأفصحتُ بمسؤولية عن ثغرة تجاوز في التحكم بالصلاحيات (CWE-863، تفويض غير سليم) في إضافة Rank Math SEO، وهي من أوسع إضافات SEO انتشاراً في ووردبريس بملايين التثبيتات النشطة. كان بإمكان مستخدم بص...

منشورة
متوسطة 4.9
2026-08-27
CWE-436 DataDog

GuardDog — اختلاف في قراءة أرشيف ZIP يخفي حمولة خبيثة عن الماسح

حزمة wheel مصنوعة خصيصاً تضبط سجل نهاية الفهرس المركزي ليعلن صفر إدخالات. مكتبة zipfile في بايثون تقرأ الأرشيف فارغاً فيعلن الماسح صفر مؤشرات، بينما المُثبِّت يفكّ الحمولة الحقيقية من رؤوس الملفات الم...

أصلحها المورّد
عالية 7.4
2026-06-24
CVE-2026-84223 Themeum 6.0.0 – 6.3.0

Kirki من 6.0.0 إلى 6.3.0 – ثغرة XSS مخزنة عبر رفع ملفات SVG غير معقمة (صلاحية Author فما فوق)

لا تقوم إضافة Kirki بتعقيم ملفات SVG المرفوعة، بل تجعلها قابلة للرفع على مستوى الموقع بالكامل. وهذا يتيح للمستخدمين بصلاحية Author فما فوق رفع ملف SVG يحتوي على كود JavaScript، ثم يقدم الملف من نفس نط...

منشورة
متوسطة 6.8
2026-09-17
CVE-2026-104643 mra13 / Team Tips and Tricks HQ All versions before 2.0.2 (< 2.0.2)

Easy HTTPS Redirection (SSL) قبل الإصدار 2.0.2 – كشف نتائج الفحص وإعادة كتابة عناوين URL على مستوى الموقع بواسطة مستخدم Subscriber أو أعلى

تعاني إضافة Easy HTTPS Redirection (SSL) لإدارة ووردبريس، في الإصدارات السابقة للإصدار 2.0.2، من غياب التحقق من الصلاحيات في بعض إجراءات AJAX. قد يتمكن مستخدم مسجّل دخول بصلاحيات منخفضة، مثل Subscribe...

منشورة
متوسطة 4.2
2026-01-13
CVE-2026-74992 Themeum < 6.2.3

ثغرة XSS مخزَّنة عبر رفع أرشيف خطوط في إضافة Kirki

اكتشفتُ وأفصحتُ بمسؤولية عن الثغرة CVE-2026-74992، وهي ثغرة XSS مخزَّنة بصلاحية Editor فأعلى في إضافة "Kirki". لم تكن الإضافة تتحقق من الملفات داخل أرشيفات الخطوط المرفوعة (ZIP) ولا تحذف الملفات غير ا...

منشورة
متوسطة 6.8
2026-08-18
CVE-2026-106095 Code Snippets 3.10.0

Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي

تعاني إضافة Code Snippets في WordPress من غياب التحقق من الصلاحيات في إحدى عمليات إدارة الشيفرات، كما تعتمد على بيانات الطلب لتحديد نطاق الشيفرة بدلاً من بيانات السجل المخزن. وقد يسمح ذلك لمدير موقع ف...

منشورة
منخفضة 3.3
2026-10-07
CVE-2026-84222 Kirki 6.2.1 - 6.2.5

Kirki — كشف محتوى مقالات غير عامة دون مصادقة عبر المعامل kirki_data

إصدارات Kirki من 6.2.1 إلى 6.2.5 لا تتحقق من صلاحية الطلب لعرض محتوى المنشور قبل إرجاعه عبر باراميتر kirki_data، مما يسمح لأي مستخدم غير مسجل بالاطلاع على محتوى الصفحات غير المنشورة كالخاصة والمسودة و...

منشورة
متوسطة 5.3
2026-09-07
CVE-2026-19719 UltimatelySocial < 3.0.1

Social Media Share Buttons — ثغرة XSS مخزَّنة عبر عنوان المقال (صلاحية Contributor فأعلى)

الإضافة لا تقوم بتنقية (escape) عنوان المقال (Post Title) قبل طباعته داخل معالج حدث JavaScript مضمن، مما يسمح للمستخدمين بصلاحية Contributor فأعلى بحقن ثغرة Stored XSS تنفذ عند تفاعل الزائر مع زر المش...

منشورة
متوسطة 6.8
2026-08-31
CVE-2026-84743 The Events Calendar / StellarWP 6.15.16.1 – 6.17.4.1

The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+

تعاني إضافة The Events Calendar من ضعف في التحقق من الصلاحيات على مستوى الكائن في مجموعة من مسارات REST API الخاصة بعمليات الكتابة. يمكن لمستخدم موثّق يمتلك صلاحية منخفضة مثل Contributor تعديل أو إلغا...

منشورة
منخفضة 3.8
2026-09-21
CVE-2026-84745 StellarWP (The Events Calendar) < 6.17.3.1

The Events Calendar — كشف محتوى أحداث وأماكن ومنظِّمين غير عامة عبر REST API

الإضافة لا تقوم بتقيد الوصول للمحتوى غير العام عبر أرشيفات REST API العامة، مما يسمح للمستخدمين بصلاحية Contributor فأعلى بقراءة المحتوى الكامل لكل الفعاليات (Events) والأماكن (Venues) ومنظمي الفعاليا...

منشورة
منخفضة 2.7
2026-09-03
CVE-2026-77787 Rank Math < 1.0.277

Rank Math SEO — تعديل بيانات التصنيفات والكتابة فوق عناوين المقالات عبر updateMetaBulk

الإضافة لا تقوم بفحص صلاحيات (capability check) عند معالجة تحديثات البيانات الوصفية بالجملة (bulk metadata) المستهدفة لتصنيفات (terms)، وتعيد استخدام معرف الكائن (object identifier) المرسل عبر أنواع...

منشورة
منخفضة 2.7
2026-08-31
CVE-2026-77785 Rank Math < 1.0.277

Rank Math SEO — كشف محتوى مقالات غير عامة عبر Abilities API (صلاحية Author فأعلى)

الإضافة لا تتحقق من صلاحية المستخدم للوصول إلى المقال المحدد بالطلب قبل إرجاع محتواه عبر Abilities API، مما يسمح للمستخدمين بصلاحية Author فأعلى بقراءة عنوان ومحتوى وبيانات SEO الخاصة بمقالات غير عامة...

منشورة
منخفضة 2.7
2026-08-31
CVE-2026-19615 WPease < 9.0.1

ثغرة XSS مخزَّنة عبر رفع ملف SVG غير معقَّم في إضافة ASE

اكتشفتُ وأفصحتُ بمسؤولية عن الثغرة CVE-2026-19615، وهي ثغرة XSS مخزَّنة بصلاحية Author فأعلى في إضافة "Admin and Site Enhancements (ASE)". أخفقت الإضافة في تعقيم ملفات SVG المرفوعة عبر كل المسارات، بم...

منشورة
متوسطة 6.8
2026-08-18
— Plugins360 Labs < 2.9.0

ثغرات متعددة في إضافة Automatic YouTube Gallery

اكتشفتُ وأبلغتُ بمسؤولية عن عدة ثغرات أمنية في إضافة ووردبريس "Automatic YouTube Gallery" من تطوير Plugins360 Labs. شملت المشاكل المبلَّغ عنها: • ثغرات تتيح التلاعب بالمعرض دون مصادقة. • استنزاف حصة و...

أصلحها المورّد
عالية 7.4
2026-08-10
CWE-778 CrowdSec

CrowdSec — محلّل سجلات Exim يتجاهل محاولات فشل المصادقة

نمط grok كان يتطلب مجموعة التقاط set_id التي لا تحتويها أسطر فشل المصادقة إطلاقاً، فمحاولات التخمين ضد Exim ما كانت تولّد أي حدث. أُصلح بجعل المجموعة اختيارية، وهو متوافق رجعياً مع توكيدات المحلّل الم...

أصلحها المورّد
منخفضة
2026-06-24
CVE-2026-19075 PluginsWare < 4.9.2

ثغرة SSRF في إضافة All-in-One Video Gallery

اكتشفتُ وأفصحتُ بمسؤولية عن الثغرة CVE-2026-19075، وهي ثغرة تزوير طلبات من جهة الخادم (SSRF) تصيب إضافة All-in-One Video Gallery لووردبريس في الإصدارات الأقدم من 4.9.2. تؤثر الثغرة على خاصية تنزيل الف...

منشورة
متوسطة 5.0
2026-08-07
CWE-295 Meow Apps < 3.6.5

تحقّق غير سليم من شهادة TLS في إضافة AI Engine

اكتشفتُ وأفصحتُ بمسؤولية عن ثغرة أمنية في إضافة AI Engine لووردبريس، التي تتجاوز 100,000 تثبيت نشط. تحقّق المطوّر من الثغرة وأصلحها في الإصدار 3.6.5 مع إقرار رسمي في سجل تغييرات المشروع. تتعلق المشكلة...

أصلحها المورّد
متوسطة
2026-07-28