CVE-2021-24704 in Orange Form Plugin
الملخص
بحسب VulDB • 26/05/2026
في إضافة WordPress Orange Form حتى الإصدار 1.0، تؤدي الدالة `process_bulk_action()` الموجودة في الملف "admin/orange-form-email.php" إلى تنفيذ استعلام SQL غير مُحضَّر (unprepared) باستخدام معلمة غير مُنظَّفة ($id). على الرغم من أن الوصول إلى الصفحة التي تستدعي هذه الدالة مقصور على المسؤولين (admins)، إلا أن عدم وجود حماية ضد هجمات تزوير الطلبات عبر المواقع (CSRF) يجعلها قابلة للاستغلال فعلياً، مما قد يسمح للمهاجمين بإجبار مسؤول مسجل الدخول على حذف منشورات عشوائية، على سبيل المثال.
If you want to get best quality of vulnerability data, you may have to visit VulDB.