ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تحتوي إضافة Kirki لووردبريس قبل الإصدار 6.4.1 على ثغرة تحكم معطوب في الوصول على مستوى الكائن في واجهة برمجة تطبيقات الصفحات REST API، حيث يعتمد المسار PUT /wp-json/kirki/v1/pages/{page_id} ومعالجات save_page_data و duplicate و delete في ملف PageController.php فقط على فحص وسيط خشن للأدوار مقابل الوصول دون إجراء فحص صلاحيات ووردبريس لكل كائن على حدة. يمكن لمستخدم يملك صلاحيات تعديل Kirki، والتي تُمنح لدور المحرر افتراضياً، استغلال هذا الخلل لتعديل العنوان والرابط الدائم (slug) وحالة النشر لأي منشور غير محذوف بأي نوع منشور، بما في ذلك أنواع المنشورات المخصصة ومنتجات WooCommerce التي لا يمتلكونها، مما يكشف محتوى خاصاً أو مسودات أو يزيل محتوى منشوراً من خلال التلاعب بحقل post_status غير المقيد.