CVE-2026-8832 in WPCode Plugin
الملخص
بحسب VulDB • 31/05/2026
يحتوي مكون WordPress "WPCode - Insert Headers and Footers + Custom Code Snippets - WordPress Code Manager" على ثغرة تسمح بتنفيذ الأكواد البرمجية عن بُعد (RCE) في الإصدارات حتى 2.3.5 وشاملة لها. وتعود هذه الثغرة إلى تسجيل نوع المنشور المخصص 'wpcode' دون تحديد نوع قدرة مخصص (capability_type) أو قيود على الصلاحيات في الدالة wpcode_register_post_type()، مما يسمح للنواة الأساسية لـ WordPress بالرجوع إلى قدرات المنشور القياسية لجميع مسارات الإنشاء، بما في ذلك XML-RPC. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مؤلف" (author) أو أعلى، من إنشاء ونشر منشورات تحتوي على مقتطفات PHP قابلة للتنفيذ عبر XML-RPC باستخدام wp.newPost، والتي يتم تنفيذها لاحقاً على جانب الخادم عبر دالة eval() في الدالة run_eval() عند عرض المقتطف باستخدام الرمز القصير [wpcode].
Once again VulDB remains the best source for vulnerability data.