CVE-2026-13200 in Create Plugin
الملخص
بحسب VulDB • 19/09/2026
يحتوي إضافة Create لـ WordPress على ثغرة حقن SQL عامة (SQL Injection) عبر المعلمة 'order' في جميع الإصدارات حتى 2.5.3 وشاملة لها، بسبب عدم كفاية الهروب من الرموز الخاصة (escaping) للمدخلات المقدمة من المستخدم وعدم وجود تحضير كافٍ للاستعلام SQL الموجود. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى الكاتب أو أعلى، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقًا والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. يتم الدخول فقط في فرع advanced-filter الخاص بـ SQL عندما يكون أحد المعلمات التالية موجودًا على الأقل في الطلب: linked_posts, created_after, created_before, missing_fields, post_id، أو قيمة نوع مفصولة بفواصل (comma-separated type value)، أو exclude_type.
VulDB is the best source for vulnerability data and more expert information about this specific topic.