اسم البرنامج الإضافي	إعلانات برودستريت
نوع الضعف	ثغرة في الأمن السيبراني.
رقم CVE	CVE-2025-9987
الاستعجال	قليل
تاريخ نشر CVE	2026-05-13
رابط المصدر	CVE-2025-9987

كشف بيانات حساسة في مكون Broadstreet Ads (<= 1.53.1) — ما يجب على مالكي مواقع ووردبريس القيام به الآن

مؤلف: فريق أمان جدار الحماية WP
تاريخ: 2026-05-13
العلامات: ووردبريس، ثغرة، Broadstreet، WAF، استجابة الحوادث، WP-Firewall

الملخص التنفيذي

ثغرة تم الكشف عنها مؤخرًا (CVE-2025-9987) في مكون Broadstreet Ads لووردبريس بالإصدارات <= 1.53.1 تسمح للمستخدمين المعتمدين الذين لديهم امتيازات مستوى المشترك (وأعلى) بالوصول إلى معلومات لا ينبغي أن تكون متاحة لتلك الأدوار. تم تصنيف المشكلة على أنها كشف بيانات حساسة مع تصنيف CVSS متوسط تم الإبلاغ عنه كـ 5.3 وتم إصلاحها في الإصدار 1.53.2.

على الرغم من أن الثغرة تتطلب على الأقل حساب مشترك للاستغلال (أي أنها ليست قابلة للاستغلال مباشرة من قبل الزوار المجهولين)، إلا أنها تظل مهمة. العديد من المواقع تسمح بالتسجيلات أو لديها حسابات مشتركين موجودة للتعليقات أو النشرات الإخبارية أو العملاء — ويمكن للمهاجم إنشاء أو استغلال حسابات المشتركين لاستكشاف البيانات المكشوفة. تسرب المعلومات الحساسة غالبًا ما يصبح وسيلة تصعيد لمزيد من الهجمات (الاستطلاع، الهندسة الاجتماعية المستهدفة، أو تصعيد الامتيازات).

تم كتابة هذا الدليل بواسطة مهندسي أمان WP-Firewall لمالكي مواقع ووردبريس، والمطورين، ومديري الأنظمة. يشرح المخاطر، والأسباب الجذرية الفنية، ومؤشرات الكشف، والتخفيفات الفورية (بما في ذلك تدابير WAF التي يمكنك تطبيقها الآن)، وتوصيات التصحيح والتقوية، وإجراءات ما بعد الحادث.

---

المخاطر بلغة بسيطة

• ما هو المكشوف؟ يذكر الباحثون الأمنيون أن نقاط نهاية معينة من المكون أعادت بيانات لمستخدمين معتمدين بمستوى مشترك كان ينبغي تقييدها. تصنيف “البيانات الحساسة” يغطي أي معلومات يمكن أن تساعد مهاجمًا (بيانات المعلنين/بيانات الحساب، معرفات داخلية، رموز API، تفاصيل التكوين، معلومات التعريف الشخصية، جرد الأصول، أو تتبع الأخطاء)؛ حتى لو كانت الحقول المكشوفة ليست مدمرة مباشرة، فإنها تساعد المهاجم في صياغة هجمات لاحقة.
• من يستطيع استغلاله؟ أي حساب معتمد يمتلك امتيازات مشترك (أو أعلى) — بما في ذلك الحسابات التي تم إنشاؤها من خلال التعليقات، أو النماذج، أو التسجيل.
• لماذا هذا مهم: المواقع التي تسمح بالتسجيلات أو لديها التجارة الإلكترونية، أو العضويات، أو التعليقات غالبًا ما تحتوي على العديد من حسابات المشتركين. يمكن لمهاجم خبيث إنشاء أو اختراق حساب مشترك ثم استخراج بيانات يمكن استخدامها لأفعال أكثر ضررًا.

---

كيف تحدث هذه الأنواع من الثغرات عادة

بناءً على أنماط الثغرات القياسية والفئة الاستشارية المنشورة، تأتي الثغرات مثل هذه من الأخطاء في كيفية فرض المكون للتفويض. تشمل الأسباب الجذرية النموذجية:

• نقاط نهاية REST API أو استدعاءات AJAX التي تقوم بإجراء فحوصات المصادقة (هل المستخدم مسجل الدخول) ولكن ليس فحوصات القدرة أو الملكية المناسبة (current_user_can أو check_ajax_referer المستخدمة بشكل غير صحيح أو مفقودة).
• الوصول المباشر إلى الملفات الذي لا يتحقق من قدرات المستخدم المطلوب.
• فلاتر مفرطة السماح تعيد بيانات داخلية إلى أي مستخدم مسجل الدخول.
• الفشل في تطهير/الهروب من المخرجات التي تمكن بعد ذلك من الكشف عبر حمولات كبيرة.

فهم هذه الأسباب يساعدك في تصميم تخفيفات قوية، سواء على المدى القصير (قواعد WAF) أو على المدى الطويل (إصلاحات الكود وتقوية الأدوار).

---

الإجراءات الفورية التي يجب أن تتخذها (ترتيب الأولويات)

1. قم بتحديث الإضافة إلى 1.53.2 (أو لاحقًا) فورًا إذا كان ذلك ممكنًا.
   • هذه هي الخطوة الأكثر أهمية. قام مطور الإضافة بإصدار تصحيح؛ قم بتطبيقه عبر لوحة تحكم ووردبريس أو عملية إدارة الحزم الخاصة بك.
2. إذا لم تتمكن من التحديث فورًا:
   • قم بإلغاء تنشيط إضافة Broadstreet Ads مؤقتًا حتى تتمكن من التحديث. إذا كانت الإضافة حيوية للإيرادات ولا يمكن تعطيلها، استخدم التخفيفات أدناه.
   • نشر قواعد WAF (انظر قسم “وصفات تخفيف WP-Firewall”) لحظر الوصول إلى نقاط نهاية الإضافة أو لتقييد الاستجابات.
3. مراجعة وتقليل عدد حسابات المشتركين:
   • إزالة الحسابات القديمة أو التجريبية.
   • طلب التحقق من البريد الإلكتروني للتسجيلات الجديدة إذا كنت تسمح بالتسجيل العام.
   • النظر في تقييد التسجيل العام حتى يتم تحديث الإضافة.
4. تدقيق التسجيلات والنشاطات الأخيرة للمستخدمين:
   • البحث عن حسابات جديدة مشبوهة تم إنشاؤها حول نافذة الكشف عن الثغرات.
   • تحقق من السجلات للطلبات غير العادية إلى نقاط نهاية محددة للإضافة أو الاستجابات الكبيرة من الموقع.
5. تدوير أي أسرار قد تخزنها الإضافة أو تستخدمها، إذا كان ذلك مناسبًا:
   • إذا كانت الإضافة قد خزنت مفاتيح API، أو رموز، أو بيانات اعتماد التجار وقد تكون قد تعرضت، قم بتدويرها.

---

مؤشرات الكشف وقائمة التحقق من الفرز

إذا كنت تشك في الاستغلال أو تريد التحقق بشكل استباقي:

• تحقق من سجلات الخادم والتطبيق للطلبات التي تشير إلى الإضافة:
  • الطلبات إلى عناوين URL التي تحتوي على /wp-content/plugins/broadstreet/
  • استدعاءات واجهة برمجة التطبيقات REST إلى /wp-json/... حيث يتضمن اسم المساحة أو المسار بروادستريت أو شظايا إضافات مشابهة
  • طلبات admin-ajax التي تشير إلى إجراءات Broadstreet
• ابحث عن الطلبات الناجحة الشاذة من حسابات ذات امتيازات منخفضة تعيد حمولات JSON كبيرة أو صفحات HTML طويلة.
• راقب لـ:
  • زيادة في تسجيلات المستخدمين الجدد من المشتركين
  • طلبات متعددة من نفس عنوان IP لإنشاء أو استخدام حسابات المشتركين
  • الطلبات التي تعيد معرفات داخلية، عناوين بريد إلكتروني، أو رموز API (إذا كانت هذه الحقول موجودة)
• قم بإجراء بحث شامل عن المحتوى في الموقع (نسخة احتياطية أو قاعدة بيانات مصدرة) عن أي حقول يخزنها المكون الإضافي تعتبرها حساسة (مفاتيح API، معرفات المعلنين).
• قم بفحص موقعك باستخدام ماسح ضوئي للبرامج الضارة محدث وفحوصات التكوين (يتضمن WP-Firewall فحصًا يمكن أن يساعد في تحديد الملفات الغريبة أو الملفات المعدلة مؤخرًا).

إذا وجدت دليلًا على تسرب البيانات، اتبع خطوات ما بعد الحادث لاحقًا في هذه المقالة.

---

وصفات تخفيف WP-Firewall - القواعد التي يمكنك تطبيقها الآن

أدناه عدة قواعد وإجراءات عملية يمكنك تنفيذها في WP-Firewall لتقليل التعرض قبل أن تتمكن من تصحيح المكون الإضافي. تم كتابتها كإجراءات عامة قابلة للتنفيذ؛ يمكنك ترجمتها إلى واجهة WP-Firewall عند إنشاء قواعد مخصصة (أو إلى WAF على جانب الخادم إذا لزم الأمر).

مهم: تهدف هذه القواعد إلى حظر أو تحييد الوصول إلى نقاط نهاية المكون الإضافي التي لا يُقصد الوصول إليها من قبل حسابات بمستوى المشتركين. نظرًا لاختلاف المواقع، راجع واختبر القواعد في بيئة اختبار قبل نشرها في الإنتاج.

1) حظر عام للوصول المباشر إلى ملفات PHP الخاصة بالمكون الإضافي

حظر طلبات HTTP التي تستهدف مباشرة ملفات PHP الخاصة بالمكون الإضافي (منع استدعاء الملفات مباشرة):

• المطابقة: يحتوي REQUEST_URI على /wp-content/plugins/broadstreet/
• الشرط: REQUEST_METHOD هو GET أو POST والطلب ليس من عنوان IP إداري
• الإجراء: حظر (403)

مثال (أسلوب ModSecurity للرجوع إليه)

SecRule REQUEST_URI "@contains /wp-content/plugins/broadstreet/"

إرشادات WP-Firewall:

• أنشئ قاعدة WAF مخصصة تتطابق مع URIs الطلبات التي تحتوي على wp-content/plugins/broadstreet واضبط الإجراء على الحظر أو التحدي.
• اختياريًا، السماح فقط بالطلبات القادمة من عناوين IP الإدارية المعتمدة أو المستخدمين الإداريين عن طريق إضافة استثناء.

2) تقييد الوصول إلى واجهة برمجة التطبيقات REST إلى مساحة اسم المكون الإضافي

إذا كان المكون الإضافي يكشف عن نقاط نهاية REST تحت مساحة اسم معروفة (مثل،, wp-json/*بروادستريت*)، منع الوصول ما لم يكن المتصل مسؤولاً.

قاعدة المثال:

إذا تطابق REQUEST_URI مع التعبير النمطي "^/wp-json/.{0,100}broadstreet" و

إرشادات WP-Firewall:

• أنشئ قاعدة مخصصة تكشف عن /wp-json/*بروادستريت* وتقوم إما بالحظر أو تتطلب رأسًا سريًا خاصًا (انظر القاعدة 4).
• إذا كان موقعك يستخدم واجهة برمجة التطبيقات REST لميزات الواجهة الأمامية المشروعة، قم بإدراج نقاط النهاية المحددة التي تستخدمها الواجهة الأمامية وحظر أي شيء آخر.

3) حظر أنماط المعلمات المشبوهة والاستجابات الكبيرة

غالبًا ما يحدث الكشف عندما تعيد نقطة نهاية JSON مصفوفات داخلية. حتى يتم تصحيحها، أضف حدودًا للسرعة وحدودًا للحجم.

• حدد أحجام استجابة JSON لنقاط النهاية التي تتطابق مع المكون الإضافي.
• قم بتحديد معدل الطلبات إلى مساحة اسم المكون الإضافي لكل IP إلى، على سبيل المثال، 5 طلبات/دقيقة.

إرشادات WP-Firewall:

• أنشئ فحوصات لتحديد معدل الطلبات وحجم الاستجابة لعنوان URI الذي يتطابق مع بروادستريت.
• قم بتكوين التسجيل لالتقاط محاولات الحظر وأحمال الطلبات لأغراض الطب الشرعي.

4) تحدي المصادقة للمستخدمين غير المسؤولين (تحقق من الكوكي المؤقت)

إذا كان جدار الحماية الخاص بك يمكنه تقييم كوكيز WordPress، تطلب رأسًا إضافيًا أو رمزًا للوصول إلى نقاط نهاية المكون الإضافي:

• بالنسبة للطلبات إلى نقاط نهاية المكون الإضافي، تطلب وجود رأس مخصص X-Sec-Auth: الذي يعرفه فقط واجهة موقعك الأمامية.
• بدلاً من ذلك، ارفض الطلبات التي تبدو أنها مصادق عليها باستخدام كوكيز المشتركين ولكنها تقوم بإجراء مكالمات واجهة برمجة التطبيقات للمكون الإضافي.

ملحوظة: هذه تخفيف مؤقت ويتطلب تغييرات في الواجهة الأمامية أو وكيل. استخدمه فقط إذا كنت تستطيع تنفيذه بأمان.

5) قيود IP والجغرافيا (إذا كان ذلك مناسبًا)

إذا كان الوصول الإداري لموقعك والتكاملات المشروعة تأتي من عناوين IP أو مناطق جغرافية معروفة:

• حظر أو تحدي الطلبات إلى نقاط نهاية المكون الإضافي من البلدان أو نطاقات IP التي لا تخدمها.
• أضف CAPTCHA أو تحدي لتدفقات التسجيل لتقليل إنشاء مشتركين مزيفين.

---

مثال: إضافة قاعدة WP-Firewall (خطوة بخطوة)

1. قم بتسجيل الدخول إلى لوحة تحكم WP-Firewall الخاصة بك.
2. انتقل إلى WAF → القواعد المخصصة → إضافة قاعدة جديدة.
3. عنوان القاعدة: “تقييد وصول مكون Broadstreet (مؤقت)”
4. نوع المطابقة: URI الطلب يحتوي على
   • القيمة: /wp-content/plugins/broadstreet/ و /wp-json/ القواعد لـ REST
5. الشروط:
   • إذا لم يكن الطالب في دور الإدارة
   • اختياري: IP غير موجود في قائمة السماح الإدارية
6. الإجراء: حظر (403) أو تحدي (reCAPTCHA)
7. التسجيل: تمكين تسجيل الطلبات بالكامل والتنبيه
8. احفظ وقم بتمكينه في وضع “المراقبة” لمدة 10-30 دقيقة، راجع السجلات، ثم انتقل إلى “المفروض”.

---

توصيات تعزيز الأمان على المدى الطويل

1. حافظ على تحديث جميع المكونات الإضافية، والسمات، ونواة WordPress - قم بإعداد تحديثات تلقائية مرحلية حيثما كان ذلك ممكنًا.
2. قلل من بصمة المكون الإضافي - قم بإزالة المكونات الإضافية التي لا تستخدمها بنشاط.
3. فرض الحد الأدنى من الامتيازات:
   • تجنب تعيين أدوار أعلى للمستخدمين الذين لا يحتاجون إليها.
   • تأكد من أن المؤلفين والمساهمين لا يمكنهم الوصول إلى صفحات إدارة المكونات الإضافية.
4. التحكم في تسجيل المستخدمين:
   • تعطيل التسجيل العام إذا لم يكن مطلوبًا أو يتطلب موافقة المسؤول والتحقق من البريد الإلكتروني.
5. حماية واجهة برمجة التطبيقات REST:
   • استخدم تفويض مستوى المسار؛ لا تفترض أن المستخدم المسجل دخولًا مخول.
   • قصر نقاط نهاية REST الحساسة على قدرات محددة (تحقق current_user_can).
6. المراقبة والتنبيه:
   • تفعيل تسجيل الأحداث والتنبيهات في الوقت الحقيقي لإنشاء حسابات جديدة، وتصدير بيانات كبيرة، وزيادات في حركة المرور إلى نقاط نهاية المكونات الإضافية.
7. مراجعات كود الأمان:
   • إذا كنت تطور أو تخصص المكونات الإضافية بشكل كبير، أصر على مراجعات الكود التي تركز على التفويض وكشف البيانات (خصوصًا لنقاط نهاية واجهة برمجة التطبيقات التي تعيد JSON).

---

استجابة ما بعد الحادث (إذا وجدت دليلًا على كشف البيانات)

1. عزل واحتواء:
   • قم بتعطيل المكون الإضافي مؤقتًا حتى يتم تطبيق التصحيح الخاص بك.
   • طبق قواعد WAF الموضحة أعلاه.
2. الحفاظ على الأدلة:
   • قم بتصدير السجلات، ولقطات قاعدة البيانات، ونسخ من أي ردود مشبوهة. حافظ على سلسلة الحيازة إذا كنت تنوي إشراك إنفاذ القانون أو فريق الطب الشرعي.
3. تدوير الأسرار:
   • قم بتدوير أي مفاتيح واجهة برمجة التطبيقات، أو رموز، أو بيانات اعتماد قد يكون المكون الإضافي قد استخدمها أو التي كان لديه وصول إليها.
4. إعادة تعيين كلمات المرور القسرية:
   • بالنسبة للمستخدمين الذين تشك في أن حساباتهم قد تم إساءة استخدامها، قم بإجراء إعادة تعيين كلمات المرور القسرية ونصحهم بتغيير كلمات المرور على خدمات أخرى إذا كانوا يعيدون استخدام بيانات الاعتماد.
5. إخطار أصحاب المصلحة:
   • إذا تم كشف البيانات الشخصية للمستخدم، اتبع المتطلبات القانونية والتنظيمية لإخطار الانتهاك في ولايتك. قم بإخطار المستخدمين المتأثرين حسب الحاجة.
6. فحص عميق وتنظيف:
   • قم بتشغيل فحص كامل للبرامج الضارة وسلامة الموقع والخادم الأساسي.
   • ابحث عن قذائف الويب، أو مستخدمين جدد كمسؤول، أو مهام مجدولة تم إنشاؤها حول وقت الشك في الاختراق.
7. استعادة:
   • بعد التنظيف والترقيع، استعد من نسخة احتياطية موثوقة إذا لزم الأمر.
   • راقب بشكل مكثف لمدة 30 يومًا على الأقل.
8. بعد الوفاة:
   • قم بإجراء مراجعة مكتوبة للحادث، وعالج فجوات العملية، وطبق ضوابط وقائية (أتمتة التحديثات، ضوابط تسجيل أكثر صرامة، قواعد WAF مخصصة، إلخ).

---

نمذجة التهديدات - لماذا تعتبر ثغرات مستوى المشترك خطيرة

يعتبر العديد من مالكي المواقع أن حسابات “المسؤول” فقط هي عالية المخاطر. هذه خطأ. غالبًا ما تكون اختراقات مستوى المشترك هي الباب الخفي الذي يستخدمه المهاجمون لـ:

• رسم خريطة للأصول الحساسة والتكوينات الداخلية.
• جمع عناوين البريد الإلكتروني والمعلومات الشخصية لحملات التصيد.
• البحث عن ثغرات تصعيد الامتيازات (بعض الإضافات تربط أنماط غير آمنة).
• تسهيل الهندسة الاجتماعية والهجمات المستهدفة (يمكن الاتصال بالعملاء/موظفي الدعم باستخدام بيانات شرعية تم الحصول عليها).

اعتبر أي إفصاح لحسابات ذات امتياز منخفض خطرًا كبيرًا لهذا السبب.

---

التعليمات

س: موقعي يحتوي فقط على عدد قليل من المشتركين - هل لا يزال يتعين علي القلق؟
أ: نعم. حتى حساب مشترك واحد ضعيف أو حساب تم إنشاؤه بواسطة مهاجم يكفي لاستغلال المشكلة. إذا كنت تسمح بالتسجيل العام، فإن سطح الهجوم أكبر.

س: قمت بتحديث الإضافة؛ هل أحتاج إلى القيام بأي شيء آخر؟
أ: بعد التحديث، تحقق من أن التحديث اكتمل بنجاح (تم تحديث إصدارات الملفات)، امسح الذاكرة المؤقتة، أعد فحص الموقع، وراجع السجلات للتأكد من عدم حدوث أي نشاط مشبوه أثناء تعرض الإضافة للخطر.

س: هل يمكن أن تحميني WAF بالكامل دون تحديث الإضافة؟
أ: يمكن أن تقلل WAF من التعرض وتقلل من احتمال الاستغلال، لكنها تحكم مؤقت. العلاج الصحيح هو تحديث الإضافة إلى النسخة المرقعة واتباع خطوات تعزيز الأمان الموضحة أعلاه.

---

كيف يحميك WP-Firewall من الثغرات الأمنية مثل هذه

كمزود أمان يركز على WordPress، نصمم الحمايات مع وضع أنماط الهجوم في العالم الحقيقي في الاعتبار:

• قواعد WAF المدارة التي تحظر تقنيات الاستغلال الشائعة ويمكن تحديثها بسرعة لمواجهة الهجمات الناشئة.
• الكشف القائم على السلوك للإشارة إلى الاستخدام الشاذ لنقاط نهاية REST والوصول إلى ملفات الإضافات.
• القدرة على نشر قواعد مخصصة تستهدف شفرات الإضافات المحددة (مثل بروادستريت) أو مساحات أسماء REST قبل أن يتوفر تصحيح.
• فحص البرمجيات الخبيثة وفحوصات السلامة المجدولة لاكتشاف التغييرات المشبوهة بعد الاستغلال.
• تنبيهات تلقائية لارتفاعات التسجيلات أو الوصول غير المعتاد إلى النقاط النهائية.

إذا كنت تستخدم WP-Firewall بالفعل، تأكد من حالة تحديث المكون الإضافي الخاص بك وأن القواعد المخصصة أو التصحيحات الافتراضية للمكون الإضافي المتأثر نشطة.

---

أمثلة على توقيعات WAF للبحث عنها في السجلات

• عناوين URI: /wp-content/plugins/broadstreet/*, /wp-json/*بروادستريت*
• الحمولة المشبوهة النموذجية: حمولات JSON كبيرة تُرجع إلى حسابات المشتركين، أو استجابات JSON تحتوي على معرفات أو مفاتيح داخلية.
• مكالمات متكررة من حسابات مشتركين تم إنشاؤها حديثًا في فترة زمنية قصيرة.

أمثلة على السجلات (محررة):

[2026-05-12 10:12:41] 198.51.100.23 POST /wp-json/broadstreet/v1/list HTTP/1.1 200 4532 "Mozilla/5.0" "user=subscriber123"

---

سيناريو من العالم الحقيقي - كيف يمكن للمهاجم ربط هذا

1. يقوم المهاجم بإنشاء حساب مشترك عبر التسجيل العام أو يختطف حساب مشترك موجود.
2. باستخدام ذلك الحساب، يقومون باستدعاء نقاط نهاية REST/AJAX للمكون الإضافي لتعداد المعلنين، والمعرفات الداخلية، أو رموز API.
3. مع المعلومات المجمعة، يقوم المهاجم:
   • بإعداد حملة هندسة اجتماعية مستهدفة لمشرفي الموقع أو المعلنين.
   • يبحث عن مكونات إضافية أو نقاط نهاية أخرى تقوم بإجراء تغييرات على الامتيازات باستخدام المعرفات المكشوفة.
   • يحاول تصعيد الامتيازات أو استخراج تفاصيل تكوين مالي/دفع للاحتيال.

إيقاف الكشف عن البيانات الأولية يوقف السلسلة - سبب آخر لإعطاء الأولوية للتدابير في هذه النصيحة.

---

قائمة التحقق من الاسترداد (موجزة)

• تحديث مكون Broadstreet الإضافي إلى 1.53.2 أو أحدث.
• إذا لم يكن من الممكن إجراء التحديث على الفور، قم بإلغاء تنشيط المكون الإضافي أو تطبيق قواعد WAF لحظر نقاط نهاية المكون الإضافي.
• قم بتدقيق حسابات المستخدمين وإزالة المشتركين المشبوهين.
• قم بتدوير أي مفاتيح API أو أسرار قد تكون مكشوفة.
• قم بفحص علامات الاختراق (برامج ضارة، مستخدمون جدد ذوو صلاحيات إدارية، ملفات معدلة).
• فرض إعادة تعيين كلمات المرور للمستخدمين المتأثرين وذوي الصلاحيات.
• مراقبة السجلات والتنبيهات لمدة 30 يومًا على الأقل.

---

قم بتأمين موقع WordPress الخاص بك الآن - جرب WP-Firewall Basic (مجاني)

عنوان: ابدأ بحماية أساسية بدون تكلفة لموقعك

إذا لم تقم بذلك بالفعل، فكر في حماية موقعك بخطة WP-Firewall Basic (مجاني). إنها توفر لك حماية فورية وأساسية بدون تكلفة: WAF مُدار، حماية غير محدودة للنطاق الترددي، فحص البرامج الضارة، وميزات التخفيف التي تستهدف OWASP Top 10 - مثالية لتخفيف المخاطر أثناء تصحيح الإضافات وتقوية موقعك. اشترك مجانًا وابدأ بسرعة على: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

بالنسبة للفرق والوكالات، تضيف خططنا المدفوعة إزالة البرامج الضارة تلقائيًا، وتحديد السرعة، والتحكم في السماح/الرفض لعناوين IP، وتقارير أمان شهرية، وتصحيح افتراضي يمكنه نشر حماية مؤقتة بينما يقوم المطورون بإصدار الإصلاحات.

---

كلمات أخيرة من مهندسي WP-Firewall

ثغرات الإضافات التي تسمح بكشف البيانات لمستخدمين ذوي صلاحيات منخفضة خطيرة بشكل خادع. إنها هادئة وغالبًا ما يتم تجاهلها حتى يستخدم المهاجم المعلومات المسربة لتصعيد الهجمات. خطوات العلاج بسيطة: قم بتصحيحها في أقرب وقت ممكن، وشدد على سياسات تسجيل المستخدمين والأدوار، ونشر حماية WAF لتقليل التعرض.

إذا كنت غير متأكد من الإجراءات التي يجب اتخاذها أو كنت تريد المساعدة في تطبيق قواعد WAF وإجراء مراجعة للحوادث، يمكن لفريق الأمان لدينا المساعدة - نحن متخصصون في حماية مواقع WordPress ونشر تخفيفات سريعة لثغرات الإضافات. ابدأ بإجراء يمكنك التحكم فيه الآن: قم بتحديث إضافة Broadstreet Ads (إلى 1.53.2+) أو قم بتعطيلها حتى تتمكن من ذلك.

ابق آمنًا، واعتبر أي كشف - حتى لحساب ذي صلاحيات منخفضة - أمرًا جادًا. قد تمنع التصحيح التالي ومراجعة السجلات التالية مشكلة أكبر في المستقبل.

---

موارد إضافية ومراجع:

• CVE: CVE-2025-9987 (ثغرة تؤثر على إضافة Broadstreet Ads؛ تم تصحيحها في 1.53.2)
• وثائق WP-Firewall: إنشاء قواعد WAF، حماية REST، وأدلة استجابة الحوادث

(نهاية الإشعار)