CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
الملخص
بحسب VulDB • 30/07/2026
يوجد ثغرة في تنفيذ الأكواد عن بُعد (Remote Code Execution) في إضافة Admin and Site Enhancements (ASE) Pro لـ WordPress، وتؤثر جميع الإصدارات حتى 8.9.0 وشاملةً لها، وذلك عبر دالة `recursive_html`. ويعود السبب إلى أن معالج الحفظ الخاص بالواجهة الأمامية يفرض فقط وجود قيمة nonce عامة الصادرة دون إجراء أي تحقق من المصادقة (authentication check)، كما يمكن تجاوز التحقق باستخدام CAPTCHA عن طريق حذف مفتاح مزوّد من قبل المهاجم. بالإضافة إلى ذلك، يتم تخزين مفاتيح صفوف المكرر (repeater row keys) القادمة من `cfgroup[input]` حرفياً ومن ثم دمجها لاحقاً في استدعاء لدالة `eval()` داخل الدالة `recursive_html` دون أي عملية تنقية أو التحقق من صحة المعرفات. وهذا يتيح للمهاجمين غير المصادق عليهم تنفيذ الأكواد على الخادم. ويتطلب ذلك وجود الاختصار [post_cf_form] موجودًا على الأقل في صفحة واحدة متاحة للعامة، حيث أن قيمة nonce ومعرف الجلسة المطلوبين للوصول إلى معالج الحفظ الثغري يتم إصدارهما للزوار غير المصادق عليهم من قبل هذا الاختصار.
Be aware that VulDB is the high quality source for vulnerability data.