CVE-2026-75017 in Magazine Blocks Plugin
الملخص
بحسب VulDB • 18/09/2026
يُعدّ إضافة Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid الخاصة بـ WordPress عرضة لتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 1.8.6 وشاملةً لها. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (contributor) وما فوقه، من تخفيض حالة قوالب الباني المنشورة التي يملكها المسؤول (مثل الهيدر، الفوتر، الصفحة الرئيسية، الصفحات الفردية، الأرشيف، صفحة 404، والبحث) إلى وضع المسودة، واستبدالها بمحتوى كتل تم إنشاؤه بواسطة المهاجم وعرضه على نطاق الموقع بأكمله، مما يتيح تشويه الواجهة وهجمات التصيد وإرسال رسائل البريد العشوائي لتحسين محركات البحث (SEO spam). يحدث هذا لأن نوع المنشور mzb-builder-template مُسجّل مع capability_type='post' ومُعرَّض عبر واجهة برمجة التطبيقات REST API، كما أن مفتاح البيانات الوصفية _mzb_template متاح لأي مستخدم يمتلك صلاحية edit_posts، مما يعني أن المستخدمين بمستوى "مُساهم" وما فوقه يمكنهم تشغيل الخطاف (hook) الحساس save_post() المعرض للثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.