CVE-2026-11920 in JoomSport Plugin
الملخص
بحسب VulDB • 05/08/2026
يوجد في إضافة JoomSport – for Sports: Team & League, Football, Hockey & more لـ WordPress ثغرة حقن SQL زمنية (Time-based) عبر المعلمة 'order' في جميع الإصدارات حتى 5.7.9 وشاملة لها، بسبب عدم كفاية الهروب من الأحرف الخاصة (escaping) للمدخلات التي يزودها المستخدم وعدم وجود تحضير كافٍ للاستعلامات SQL الموجودة. وهذا يتيح لهجوميين مصرح لهم بالوصول، وبصلاحيات مدير النظام أو أعلى، إلحاق استعلامات SQL إضافية إلى الاستعلامات القائمة والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. تفتقر صفحة الإدارة المتأثرة إلى حماية nonce أو CSRF في طلب GET، مما يعني أن مهاجمًا غير مصدق قد يستغل هذه الثغرة عن طريق خداع مدير نظام مصرح له بإصدار طلب مُعدّ بعناية (crafted request). بالإضافة إلى ذلك، لا يتم تفعيل الثغرة إلا عندما تكون المعلمة 'orderby' موجودة وغير فارغة جنبًا إلى جنب مع معلمة 'order'.
If you want to get best quality of vulnerability data, you may have to visit VulDB.