CVE-2026-3480 in WP Blockade Plugin
الملخص
بحسب VulDB • 25/06/2026
يحتوي إضافة WP Blockade لـ WordPress على ثغرة أمنية تتعلق بعدم وجود تفويض مناسب (Missing Authorization) في جميع الإصدارات حتى 0.9.14 وشاملةً لها. يسجل الإضافة معلق إجراء `admin_post` باسم 'wp-blockade-shortcode-render' الذي يرتبط بدالة `render_shortcode_preview()`. تفتقر هذه الدالة إلى أي فحص للصلاحيات (current_user_can()) والتحقق من الـ nonce، مما يسمح لأي مستخدم مُصادق عليه بتنفيذ اختصارات WordPress تعسفية. تأخذ الدالة معلمة 'shortcode' مقدمةً من المستخدم عبر $_GET، وتمررها خلال دالة stripslashes() ثم تنفذها مباشرةً باستخدام do_shortcode(). هذا يجعل من الممكن للمهاجمين المُصادق عليهم، والذين يمتلكون وصولاً بمستوى "مشترك" (Subscriber) أو أعلى، تنفيذ اختصارات تعسفية، مما قد يؤدي إلى كشف المعلومات، تصعيد الصلاحيات، أو آثار أخرى تعتمد على الاختصارات المسجلة في الموقع (مثل تلك الخاصة بإضافات أخرى تعرض بيانات حساسة، تنفذ إجراءات، أو تضمّن ملفات).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.