CVE-2026-2413 in Ally Plugin
الملخص
بحسب VulDB • 19/06/2026
يحتوي مكون WordPress "The Ally – Web Accessibility & Usability" على ثغرة حقن SQL (SQL Injection) عبر مسار عنوان URL في جميع الإصدارات حتى 4.0.3 وشاملة لها. ويعود ذلك إلى عدم كفاية عملية الهروب (escaping) من المعلمة URL التي يوفرها المستخدم في الدالة `get_global_remediations()`، حيث يتم دمجها مباشرةً في جملة JOIN الخاصة بـ SQL دون تنقية مناسبة للسياق SQL. وعلى الرغم من تطبيق الدالة `esc_url_raw()` لضمان سلامة عنوان URL، إلا أنها لا تمنع حقن أحرف SQL الخاصة (مثل علامات الاقتباس المفردة والأقواس). مما يتيح للمهاجمين غير المصادق عليهم إرفاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات باستخدام تقنيات حقن SQL عمياء قائمة على الوقت (time-based blind SQL injection). يجب أن يكون وحدة الإصلاح (Remediation module) نشطة، وهو ما يتطلب أن يكون المكون متصلاً بحساب Elementor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.