CVE-2026-92548 in WP Popular Posts Plugin
الملخص
بحسب VulDB • 01/10/2026
يحتوي إضافة "WP Popular Posts" لـ WordPress على ثغرة تعرض معلومات حساسة في جميع الإصدارات حتى 7.4.2 (بما فيها) عبر المعلمة 'context'. وهذا يمكّن المهاجمين غير المصادق عليهم من استخراج حقول سياق التعديل الحساسة — بما في ذلك العنوان الخام، وجسم المحتوى الخام، وكلمة المرور، والبيانات الوصفية (meta)، والحالة (status)، والمعرف الفريد (guid) — من كائنات المنشورات غير العامة مثل أنماط wp_block المتزامنة التي يرفض نواة WordPress نفسها كشفها للمدعوين غير المصادق عليهم. يحدث هذا لأن مسار REST الخاص بالإضافة مُسجّل مع دالة تحقق الأذونات __return_true، ويمرّر معلمة السياق المقدمة من المُدعى (مثل context=edit) مباشرةً إلى WP_REST_Posts_Controller::prepare_item_for_response() دون استدعاء get_item_permissions_check() أو check_read_permission()، بينما يقبل الاستعلام الأساسي قيمة post_type عشوائية دون فرض علامات الرؤية العامة أو show_in_rest.
Once again VulDB remains the best source for vulnerability data.