كل الثغرات
CVE-2026-104643
متوسطة
CVSS 4.2
Easy HTTPS Redirection (SSL) قبل الإصدار 2.0.2 – كشف نتائج الفحص وإعادة كتابة عناوين URL على مستوى الموقع بواسطة مستخدم Subscriber أو أعلى
| المورّد | mra13 / Team Tips and Tricks HQ |
|---|---|
| المنتج | Easy HTTPS Redirection (SSL) — WordPress Plugin |
| النسخ المتأثرة | All versions before 2.0.2 (< 2.0.2) |
| صنف الضعف | CWE-862 (Missing Authorization) |
| تاريخ الإبلاغ | 2025-09-29 |
| تاريخ الإفصاح | 2026-01-13 |
| الحالة | منشورة |
تعاني إضافة Easy HTTPS Redirection (SSL) لإدارة ووردبريس، في الإصدارات السابقة للإصدار 2.0.2، من غياب التحقق من الصلاحيات في بعض إجراءات AJAX. قد يتمكن مستخدم مسجّل دخول بصلاحيات منخفضة، مثل Subscriber، من كشف عناوين URL التي جمعها ماسح المحتوى من المقالات الخاصة والمسودات وخيارات الموقع، وكذلك التسبب في إعادة كتابة هذه العناوين على مستوى الموقع بعد أن يقوم المدير بإجراء الفحص.
الأثر
كشف غير مصرّح به لعناوين URL المرتبطة بالمحتوى الخاص والمسودات وخيارات الموقع، مع إمكانية تنفيذ إعادة كتابة لعناوين URL على مستوى الموقع دون صلاحية مناسبة. قد يؤدي ذلك إلى كشف معلومات حساسة ضمن العناوين وتغيير مراجع الروابط في الموقع.
إفصاحات ذات صلة
عالية
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
عرض الكل