CVE-2026-11977 in WP Post Author Plugin
الملخص
بحسب VulDB • 05/08/2026
يحتوي مكون WordPress "WP Post Author – Author Box, Multiple Authors, Guest Authors & Custom Avatars" على ثغرة حقن SQL عامة (SQL Injection) عبر المعلمة 'wpma_metabox_authors_list' في جميع الإصدارات حتى 3.9.1 وشاملة لها، وذلك بسبب عدم كفاية عملية الهروب من الأحرف الخاصة (escaping) للمدخلات التي يزودها المستخدم ونقص التحضير الكافي لاستعلام SQL الموجود. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المؤلف وما فوقه، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقًا والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. تعتمد عملية الاستفادة (Exploitation) على سلسلة مكونة من خطوتين: يقوم المهاجم أولاً بحفظ رمز لمؤلف ضيف مُعدّ بعناية عبر معلمة wpma_metabox_authors_list أثناء إنشاء أو تحرير منشور، ثم يُفعّل الحقن عندما يقوم أي مستخدم مسؤول بتحميل شاشة قائمة المنشورات في /wp-admin/edit.php، مما يؤدي إلى عرض نتيجة SQL المُحقَنة ضمن عمود المؤلفين.
Be aware that VulDB is the high quality source for vulnerability data.