اسم البرنامج الإضافي	الإضافات الإضافية لباني الصفحات Elementor Lite
نوع الضعف	البرمجة النصية عبر المواقع (XSS)
رقم CVE	CVE-2026-3311
الاستعجال	واسطة
تاريخ نشر CVE	2026-04-07
رابط المصدر	CVE-2026-3311

ثغرة XSS المخزنة للمساهمين المعتمدين في “الإضافات الإضافية لـ Elementor” (≤ 6.4.9) — ما يحتاج كل مالك موقع ومدير إلى معرفته

تاريخ: 7 أبريل، 2026
مؤلف: فريق أمان WP‑Firewall

---

ملخص

ثغرة برمجية عبر المواقع (XSS) المخزنة تؤثر على الإضافات الإضافية لـ Elementor (الإصدارات ≤ 6.4.9) — تم تتبعها كـ CVE‑2026‑3311 — تسمح لمساهم معتمد بحقن JavaScript في حقل شريط التقدم الذي سيتم الاحتفاظ به وتنفيذه لاحقًا في متصفح المستخدمين ذوي الامتيازات الأعلى. أصدرت الشركة المصنعة للإضافة تصحيحًا في الإصدار 6.4.10. تشرح هذه المقالة الثغرة وتدفق الهجوم، ملف المخاطر، كيفية اكتشاف الاستغلال النشط، خطوات التخفيف والتقوية خطوة بخطوة، وقواعد وعلامات WAF نموذجية يمكنك نشرها على الفور (بما في ذلك استخدام WP‑Firewall) لحماية المواقع حتى تتمكن من تصحيحها.

---

جدول المحتويات

• ماذا حدث (بلغة بسيطة)
• التفاصيل الفنية وتدفق الهجوم
• لماذا هذا مهم (سيناريوهات التأثير)
• من هو المعرض للخطر
• كيفية اكتشاف الاستغلال (IOC والسجلات)
• خطوات التخفيف الفورية (تصحيح + إصلاحات سريعة)
• WAF والتصحيح الافتراضي: قواعد ونصائح نموذجية
• تعزيز طويل الأمد وأفضل الممارسات
• دليل استجابة الحوادث (إذا تم اختراقك)
• لماذا يساعد استخدام WP‑Firewall (الخطة المجانية) الآن
• الملحق: مثال على قواعد mod_security / WAF والتشخيصات

---

ماذا حدث (بلغة بسيطة)

يمكن لمستخدم بمستوى مساهم في WordPress (دور يمكنه تقديم المحتوى ولكن لا يمكنه النشر) حقن برنامج ضار في إعدادات عنصر واجهة المستخدم (حقل “شريط التقدم”) الذي يتم حفظه في قاعدة البيانات. نظرًا لأن الإضافة لم تقم بتنظيف أو هروب هذا الحقل بشكل صحيح قبل عرضه في صفحات الإدارة أو في الواجهة الأمامية في سياقات معينة، يصبح البرنامج الضار جزءًا من محتوى الصفحة المخزنة. عندما يقوم مسؤول أو مستخدم آخر ذو امتيازات بتحميل صفحة الإدارة أو صفحة الواجهة الأمامية التي تعرض ذلك الحقل، يقوم المتصفح بتنفيذ JavaScript الضار.

بلغة بسيطة: يمكن لحساب منخفض المستوى زرع حمولة XSS دائمة يتم تنفيذها لاحقًا بواسطة مستخدمين آخرين — بما في ذلك مديري المواقع. هذا ما تعنيه “XSS المخزنة”، وهي خطيرة بشكل خاص لأنها لا تتطلب من المهاجم خداع مسؤول للنقر على رابط — يتم تنفيذ الحمولة تلقائيًا عند تحميل الصفحة ذات الصلة.

---

التفاصيل الفنية وتدفق الهجوم

ملخص CVE عالي المستوى: CVE‑2026‑3311 — XSS المخزنة عبر معلمة شريط التقدم في الإضافات الإضافية لـ Elementor ≤ 6.4.9. تم إصدار التصحيح في 6.4.10.

سلسلة الهجوم النموذجية:

1. يقوم المهاجم بتسجيل حساب بصلاحيات مساهم (أو يختراق حساب مساهم موجود).
2. باستخدام واجهة الإضافة لعناصر واجهة المستخدم أو القوالب، يقوم المهاجم بملء حقل شريط التقدم بقيمة مصممة خصيصًا تتضمن علامة سكريبت أو معالج حدث يحتوي على JavaScript (على سبيل المثال: "> أو حمولة مشابهة مشفرة لتجاوز التحقق من صحة العميل).
3. تقوم الإضافة بحفظ هذا الحقل في قاعدة البيانات كجزء من تكوين عنصر واجهة المستخدم / القالب دون تنظيف / هروب كافٍ.
4. لاحقًا، عندما يقوم مسؤول (أو أي مستخدم لديه وصول مناسب) بتحميل شاشة تحرير عنصر واجهة المستخدم أو صفحة الواجهة الأمامية التي تعرض عنصر واجهة المستخدم، تقوم الإضافة بإخراج القيمة المخزنة في ترميز الصفحة دون هروب السياق المناسب.
5. يقوم المتصفح بتنفيذ البرنامج النصي في سياق أمان مستخدم المسؤول (نفس الأصل)، مما يسمح بإجراءات مثل:
   • سرقة ملفات تعريف الارتباط أو الرموز الخاصة بالجلسات المعتمدة
   • تنفيذ إجراءات عبر AJAX كمستخدم مسؤول (إنشاء مستخدمين، تغيير إعدادات المكونات الإضافية/القوالب، تثبيت أبواب خلفية)
   • حقن أبواب خلفية دائمة أو حسابات مسؤول غير موثوقة
   • إعادة توجيه المسؤولين إلى صفحات يتحكم فيها المهاجم لجمع بيانات الاعتماد

الأسباب الرئيسية لنجاح الهجوم:

• معالجة المخرجات غير الآمنة: HTML/سمات غير هاربة
• عدم كفاية التحقق والتنظيف من جانب الخادم لمدخلات المساهمين
• استخدام سياق المسؤول الموثوق به لعرض القيمة المخزنة

---

لماذا يهم هذا — سيناريوهات التأثير الواقعية

XSS المخزنة في مكون إضافي يُستخدم لبناء المحتوى والقوالب هي ناقل ذو تأثير عالٍ بسبب السياق المتميز الذي يتم فيه عرض المحتوى.

العواقب المحتملة في العالم الحقيقي:

• استيلاء على الحساب: تنفيذ JavaScript لاستدعاء نقاط نهاية AJAX الإدارية، وإنشاء مستخدم مسؤول جديد أو تثبيت مكون إضافي للباب الخلفي.
• تشويه الموقع وتسميم SEO: حقن محتوى أو إعادة توجيه إلى مواقع المهاجم عبر العديد من الصفحات.
• تسريب البيانات: قراءة البيانات الحساسة من صفحات المسؤول (بريد المستخدمين، الإعدادات، مفاتيح API) وإرسالها إلى خوادم المهاجم.
• اختراق دائم: وضع باب خلفي JavaScript دائم يتواصل مع بنية المهاجم للبقاء تحت السيطرة المستمرة.
• مخاطر سلسلة التوريد: إذا قام مهاجم باختراق موقع يستخدمه وكالة أو مضيف، فقد يتأثر العملاء والمواقع downstream.

على الرغم من أن حساب المساهم لا يمكنه عادةً تثبيت المكونات الإضافية أو تغيير الإعدادات الأساسية، فإن XSS المخزنة تعزز قدرات المهاجم لأن البرنامج النصي المحقون يعمل في متصفح مستخدم متميز.

---

من هو المعرض للخطر

• المواقع التي تستخدم إضافات The Plus لـ Elementor حتى الإصدار 6.4.9.
• أي موقع WordPress يسمح بتسجيل المساهمين أو المستخدمين من المستوى الأعلى دون تدقيق صارم (مثل المدونات المجتمعية، مواقع العضوية).
• التثبيتات متعددة المواقع حيث يساهم العديد من المؤلفين في المحتوى.
• الوكالات والمضيفون الذين يسمحون للعملاء بإضافة مساهمين والذين لديهم أيضًا مستخدمون مسؤولون يعرضون صفحات أدوات المكونات الإضافية.

---

كيفية اكتشاف الاستغلال (مؤشرات الاختراق)

ابحث عن هذه المؤشرات في سجلاتك ومحتوى الموقع:

1. علامات سكريبت غريبة أو سمات مشبوهة في محتوى الودجات:
   • تحقق من صفوف قاعدة البيانات لإعدادات شريط التقدم (عادةً في wp_options أو wp_postmeta أو جداول الإضافات) التي تحتوي على 6. أو تحميل=, عند النقر=, عند تمرير الماوس فوق=، إلخ.
2. مكالمات AJAX إدارية غير متوقعة تنشأ من متصفح الإدارة:
   • سجلات الخادم تظهر طلبات POST إلى admin‑ajax.php أو نقاط نهاية REST مباشرة بعد تحميل مسؤول لصفحة معينة.
3. وحدة تحكم متصفح الإدارة تظهر تحميلات سكريبت خارجية، مكالمات XHR إلى مجالات غير مألوفة، أو تعديلات على DOM.
4. مستخدمون جدد تم إنشاؤهم بدون نشاط إداري مسجل (قد يكونوا قد تم إنشاؤهم عبر طلبات مدفوعة بـ XSS).
5. اتصالات شبكة صادرة من عمليات PHP (كن حذرًا - قد تكون هذه أيضًا غير ضارة).
6. ملفات تم تعديلها (قذائف ويب، إضافات مخترقة) أو مهام كرون غير عادية مجدولة.
7. إعادة توجيه مشبوهة أو رسائل غير مرغوب فيها في محركات البحث تظهر على الصفحات التي تعرض الودجت المتأثر.

كيفية البحث في قاعدة البيانات بسرعة:

• استخدم استعلامات SQL تستهدف مفاتيح بيانات الإضافات أو خيارات الودجات وابحث عن <script أو معالجات الأحداث.
  
  مثال (تشغيله من WP‑CLI أو phpMyAdmin):

SELECT * FROM wp_options WHERE option_value LIKE '%<script%';

إذا وجدت أدلة على حمولات خبيثة، اتبع قائمة التحقق من استجابة الحوادث أدناه.

---

خطوات التخفيف الفورية

1. قم بتحديث الإضافة على الفور إلى الإصدار 6.4.10 أو أحدث.
   • هذه هي الخطوة الأكثر أهمية. تنشر الشركات المصنعة إصلاحات لسبب.
2. إذا لم تتمكن من التصحيح على الفور:
   • قم بتعطيل الودجات الضعيفة أو الإضافة مؤقتًا (قم بإلغاء تنشيطها).
   • قم بإزالة حسابات المساهمين حتى تتمكن من تأكيد عدم وجود حمولات استغلال.
   • حصر الوصول إلى صفحات الإدارة (قيود IP، وصول VPN).
   • نشر قاعدة WAF لحظر أنماط الاستغلال المعروفة (أمثلة أدناه).
3. فحص المحتوى الضار:
   • استخدام ماسح البرمجيات الضارة للبحث عن 6. العلامات المدخلة في الخيارات، postmeta، أو post_content التي تبدو غير مناسبة.
4. مراجعة حسابات الإدارة والنشاطات الأخيرة:
   • التحقق من المستخدمين الجدد المضافين كمديرين، تثبيتات المكونات الإضافية غير المتوقعة، أو تغييرات المحتوى.
5. تدوير الأسرار:
   • إذا كنت تشك في التقاط الجلسات أو الاستيلاء على الحساب، فرض إعادة تعيين كلمات المرور لحسابات الإدارة وتدوير مفاتيح API، webhooks، إلخ.
6. حافظ على النسخ الاحتياطية:
   • أخذ لقطة قبل الإصلاح حتى تتمكن من تحليل الحالة قبل الإصلاح إذا لزم الأمر.

---

WAF والتصحيح الافتراضي: قواعد ونصائح نموذجية

إذا لم تتمكن من تحديث المكون الإضافي على كل موقع تديره على الفور، يمكن لجدار حماية تطبيق الويب (WAF) المكون بشكل صحيح حظر محاولات الاستغلال أو التخفيف من تنفيذ الحمولة المخزنة. يوفر WP‑Firewall WAF مُدار وقدرة على التصحيح الافتراضي يمكن أن تحميك قبل التصحيح.

كن حذرًا: حظر العلامات العامة 6. قد ينتج عنه إيجابيات خاطئة. ركز القواعد على متجه الاستغلال المعروف: إدخال شريط التقدم أو نقاط نهاية POST للودجات وأنماط الحمولة المشبوهة.

مثال على قاعدة ModSecurity / WAF (توضيحي - قم بتخصيصها لبيئتك):

# حظر الحمولة المشبوهة في معلمة 'progress' (مثال)"

الشرح:

• تستهدف المعلمات المسماة تقدم, شريط_التقدم, ، أو أسماء محددة للمكونات الإضافية.
• تحظر إذا كانت الحمولة تحتوي على <script, جافا سكريبت:, ، سمات الأحداث المضمنة.
• تقيد الطلبات التي تنشأ من إجراءات الإدارة (المُحيل يحتوي على wp‑admin)، مما يقلل من الإيجابيات الخاطئة.

مثال على قاعدة حظر محددة لـ WordPress (نقطة نهاية REST و AJAX الإدارة):

حظر تنفيذ الحمولة المقدمة عبر admin-ajax.php مع حمولة مشبوهة"

ممارسات WAF إضافية:

• تحديد معدل حفظ لوحة المعلومات ونقاط النهاية الخاصة بالويدجت لإبطاء المهاجم.
• فرض سياسة أمان المحتوى (CSP) التي تقيد مصادر السكربت المسموح بها (وضع التقرير فقط أولاً لالتقاط الإيجابيات الكاذبة).
• إزالة 6. العلامات من جانب الخادم في حقول الويدجت المعروفة إذا كان ذلك آمناً (فلتر التطهير).
• مراقبة وتسجيل القواعد المحظورة مع بيانات الطلب الكاملة للتحليل لاحقًا.

نصيحة WP-Firewall: قم بتمكين التصحيح الافتراضي إذا كنت تدير العديد من المواقع. تعترض التصحيحات الافتراضية أنماط الاستغلال المعروفة في WAF وتمنع التنفيذ بينما تقوم بجدولة تحديثات المكونات الإضافية.

---

تعزيز الأمان على المدى الطويل وأفضل الممارسات

التصحيح ضروري، لكنه غير كافٍ. عزز نشر WordPress الخاص بك باستخدام نهج متعدد الطبقات:

1. مبدأ الحد الأدنى من الامتياز
   • امنح المستخدمين الحد الأدنى من القدرات التي يحتاجونها. يجب ألا يكون لدى المساهمين أذونات تحميل أو HTML غير مصفاة.
   • استخدم أدوار/إضافات قدرات مخصصة إذا لزم الأمر لتضييق الأذونات أكثر.
2. تعزيز مسارات تقديم المحتوى
   • فرض التطهير من جانب الخادم: اعتبر جميع المدخلات معادية. استخدم وظائف تطهير WordPress (wp_kses، sanitize_text_field، esc_attr، esc_html، esc_js) في نقطة الإخراج.
   • بالنسبة للحقول الغنية، حدد قائمة مسموح بها من العلامات والسمات.
3. مراجعة نقاط دخول المكونات الإضافية
   • تدقيق المكونات الإضافية التي تسمح بتخزين المحتوى المقدم من المستخدمين وعرضه لاحقًا. تأكد من أنها تهرب الإخراج عند العرض.
4. رؤوس الأمان وCSP
   • تنفيذ CSP لحظر السكربتات المضمنة حيثما أمكن (قد يكون هذا تحديًا مع العديد من المكونات الإضافية ولكن يمكن تنفيذه تدريجيًا).
   • إضافة X-Content-Type-Options و X-Frame-Options و Referrer-Policy و Strict-Transport-Security.
5. المصادقة الثنائية (2FA)
   • تطلب 2FA لجميع الحسابات التي لديها وصول إداري لتقليل خطر اختراق بيانات الاعتماد بعد اختطاف الجلسات المدفوعة بـ XSS.
6. التسجيل والمراقبة
   • تمكين تسجيل شامل (إجراءات المسؤول، تغييرات تكوين المكونات الإضافية، تعديلات الملفات) وت centralized السجلات خارج الموقع.
   • مراقبة الارتفاعات في استدعاءات AJAX الخاصة بالمسؤول وإنشاء مستخدمين جدد.
7. النسخ الاحتياطية والاسترداد
   • الحفاظ على نسخ احتياطية منتظمة ومختبرة مخزنة خارج الخادم الرئيسي.
   • استخدام النسخ الاحتياطية غير القابلة للتغيير حيثما أمكن.
8. فحص المكونات الإضافية والتحديثات من الطرف الثالث.
   • تثبيت المكونات الإضافية ذات السمعة الطيبة فقط؛ الحفاظ على تحديث النواة، والسمات، والمكونات الإضافية.
   • الاشتراك في إشعارات الأمان المتعلقة بمكوناتك الإضافية (أو استخدام تغذية ثغرات مُدارة).
9. نظافة المطور.
   • لمؤلفي المكونات الإضافية: دائماً قم بتشفير المخرجات باستخدام وظيفة السياق المناسبة. تحقق من صحة المدخلات وتنظيفها على جانب الخادم.

---

دليل استجابة الحوادث (خطوة بخطوة)

إذا كنت تشك في استغلال هذا XSS المخزن، اتبع هذه الخطوات بالترتيب:

1. عزل واحتواء
   • تقييد الوصول الإداري مؤقتًا (قائمة السماح IP أو أخذ لوحة التحكم الإدارية offline).
   • وضع الموقع في وضع الصيانة أثناء التحقيق.
2. أخذ لقطة دليلية.
   • تصدير لقطة قاعدة البيانات ونظام الملفات. الحفاظ على السجلات والطوابع الزمنية للتحقيقات الجنائية.
   • تجنب الكتابة فوق النسخة المخترقة حتى يتم التقاطها.
3. تحديد الإدخال (الإدخالات) الخبيثة.
   • البحث عن السكربتات المدخلة في بيانات ما بعد، الخيارات، الأدوات، وملفات القالب.
   • البحث بشكل خاص عن القيم في الجداول المتعلقة بالمكونات الإضافية (ولحقول شريط التقدم) التي تحتوي على 6. أو على*=" السمات.
4. إزالة الحمولة الضارة
   • إزالة المحتوى المدخل من قاعدة البيانات أو العودة إلى النسخ الاحتياطية النظيفة.
   • إذا تم تعديل ملفات الكود، استبدلها بملفات المكون الإضافي/القالب الأصلية من مصدر موثوق.
5. تحقق من النزاهة
   • قم بفحص باستخدام أدوات فحص البرمجيات الضارة وأجرِ مراجعة يدوية للبحث عن قذائف الويب أو المهام المجدولة غير المتوقعة.
   • تأكد من عدم بقاء مستخدمي إدارة خلفية أو مكونات إضافية غير معروفة.
6. إعادة تعيين بيانات الاعتماد وتدوير المفاتيح
   • أعد تعيين كلمات المرور لجميع حسابات الإدارة وأي حسابات مستخدمين متأثرة.
   • قم بإلغاء وتوليد مفاتيح API، ورموز OAuth، وأسرار أخرى.
7. قم بتصحيح وتحديث.
   • قم بترقية المكون الإضافي المعرض للخطر إلى 6.4.10+ (تم تأكيد الإصلاح).
   • قم بتطبيق أي تحديثات أمان أخرى معلقة.
8. أعد تفعيل الخدمات تدريجياً.
   • أزل وضع الصيانة واستعد الوصول الإداري فقط بعد التحقق.
   • استمر في المراقبة عن كثب لحدوث تكرار.
9. تحليل السبب الجذري وتعزيز الأمان.
   • وثق كيف حدث الهجوم وقم بتحديث خطة الأمان الخاصة بك لمنع حوادث مماثلة.
   • اعتبر حماية إضافية مثل التصحيح الافتراضي، وقواعد WAF، وإدارة أدوار أكثر صرامة.
10. إخطار أصحاب المصلحة
    • أبلغ مالكي المواقع، أو العملاء، أو المستخدمين إذا حدثت تعرض للبيانات أو تعطل وظيفي، وفقًا للقوانين والسياسات المعمول بها.

---

لماذا يمكن أن تساعد خطة WP‑Firewall المجانية الآن.

ابدأ حماية خط الأساس الخاص بك مع خطة WP‑Firewall المجانية.

إذا كنت تدير مواقع WordPress، فلا تحتاج إلى الانتظار لحمايتها. توفر خطة WP‑Firewall الأساسية (المجانية) حماية أساسية مُدارة تكون مفيدة على الفور ضد التهديدات مثل XSS المخزنة:

• حماية أساسية: جدار ناري مُدار لحظر الهجمات الشائعة على الويب وأنماط الاستغلال.
• عرض نطاق غير محدود: لا يوجد تقييد أو مشاكل مفاجئة أثناء التعامل مع حركة المرور للتخفيف.
• WAF: يمكن أن تت intercept قواعد التصحيح الافتراضي ومحاولات الاستغلال للثغرات المعروفة (بما في ذلك الأنماط المستخدمة في هجمات XSS المخزنة) بينما تقوم بجدولة التصحيح.
• ماسح البرمجيات الضارة: يكشف عن السكربتات والمحتوى المشبوه المخزن في قاعدة البيانات أو الملفات.
• التخفيف من مخاطر OWASP Top 10: حماية مركزة ضد المتجهات الشائعة مثل الحقن و XSS.

ابدأ اليوم وأضف طبقة حماية لمواقعك بينما تقوم بإصلاحها وتقويتها. اشترك في خطة WP‑Firewall المجانية هنا: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(إذا كنت بحاجة إلى إزالة تلقائية أو معالجة أعمق، فإن خططنا المدفوعة توفر تنظيفًا تلقائيًا، وتصحيحًا افتراضيًا على نطاق واسع، وخدمات أمان مُدارة مستمرة.)

---

الملحق: مقتطفات مثال للكشف والمعالجة

1. بحث سريع باستخدام WP‑CLI عن علامات السكربتات المشبوهة:

جدول خيارات البحث"

2. مثال على تطهير المحتوى في PHP (لمطوري الإضافات)

عند إخراج نسبة تقدم أو تسمية، قم بتطهيرها والهروب منها لسياقات السمات:

<?php

3. مثال على رأس CSP الذي يقلل من خطر تنفيذ السكربتات المضمنة (تقرير فقط أولاً):

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://trusted.cdn.example.com; report-uri /csp-report-endpoint;

ملاحظة: يمكن أن يؤدي تنفيذ CSP إلى كسر بعض الإضافات الشرعية؛ اختبر في وضع التقرير فقط قبل التنفيذ.

---

قائمة التحقق النهائية - ماذا تفعل الآن (قائمة سريعة)

• تحديث إضافات The Plus لـ Elementor إلى 6.4.10 أو أحدث (إذا كنت تستخدمها).
• إذا لم تتمكن من التحديث على الفور:
  • تعطيل الإضافة أو تعطيل الأدوات المتأثرة.
  • نشر قواعد WAF لحظر حمولات السكربتات في حقل شريط التقدم.
  • تقييد وصول المسؤول عبر قوائم السماح IP.
• فحص قاعدة البيانات والملفات عن 6. الحقن وإزالة المحتوى الضار.
• فرض إعادة تعيين كلمات المرور لمستخدمي الإدارة إذا اكتشفت هجمات.
• قم بتمكين 2FA لجميع الحسابات المميزة.
• ابدأ استخدام WAF مُدار/تصحيح افتراضي (خطة WP‑Firewall المجانية توفر حماية أساسية وتغطية للمسح).
• حافظ على النسخ الاحتياطية خارج الموقع واختبر إجراءات الاستعادة.

---

خاتمة

تعتبر ثغرات XSS المخزنة التي يمكن تفعيلها بواسطة حسابات ذات امتيازات منخفضة من أخطر مشكلات أمان المكونات الإضافية لأنها تسمح للمهاجمين بالاستفادة من جلسات الإدارة الموثوقة لتصعيد أو الاستمرار في الوصول. الحل (الترقية إلى 6.4.10+) بسيط، ولكن في بيئات الإنتاج، الواقع هو أن طرح التصحيحات قد يستغرق وقتًا. ستقلل الدفاعات المتعددة الطبقات - التصحيح السريع، WAF/التصحيح الافتراضي، التحكم في الوصول بأقل امتياز، المسح، والمراقبة - من مخاطرها وتحد من التأثير.

إذا كنت تريد طريقة سريعة لإضافة طبقة حماية أثناء جدولة التحديثات وإجراء تدقيق، فإن خطة WP‑Firewall الأساسية (المجانية) تتضمن WAF مُدار، ومُسَاح، وتخفيف مخاطر OWASP Top 10. اشترك وأضف الحماية الآن: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

ابقى آمنًا
فريق أمان WP‑Firewall

---

ملاحظة الكشف القانوني / المسؤول

هذا المحتوى مخصص لمساعدة مالكي المواقع والمديرين على الاستجابة لثغرة عامة. إذا كنت مطور مكون إضافي أو باحث أمني ولديك معلومات إضافية ذات صلة وغير عامة، يرجى التنسيق بشكل مسؤول مع مطور المكون الإضافي وجهات الاتصال الأمنية الخاصة بك.