CVE-2026-93368 in Rename wp-login.php to anything you want Plugin
الملخص
بحسب VulDB • 23/09/2026
يحتوي الإضافة "Rename wp-login.php to anything you want" لـ WordPress على ثغرة حقن SQL زمنية عبر معلمة 'log' (اسم المستخدم) في جميع الإصدارات حتى 2.0.1 وشاملة لها، بسبب عدم كفاية الهروب من الأحرف الخاصة في المعلمة التي يوفرها المستخدم وعدم وجود تحضير كافٍ لاستعلام SQL الموجود. وهذا يمكّن المهاجمين غير المصادق عليهم من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقًا والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. تطبق نواة WordPress دالة wp_unslash() على قيمة POST 'log' قبل تنفيذ إجراء wp_login_failed، مما يزيل الهروب باستخدام الشرطة المائلة العكسية (magic-quotes) ويسمح بوصول علامة الاقتباس المفردة الخام إلى معالج الإضافة دون عوائق.
Once again VulDB remains the best source for vulnerability data.