اسم البرنامج الإضافي	كاروستيل متعدد المشاركات في ووردبريس حسب الفئة
نوع الضعف	البرمجة النصية عبر المواقع (XSS)
رقم CVE	CVE-2026-1275
الاستعجال	قليل
تاريخ نشر CVE	2026-03-23
رابط المصدر	CVE-2026-1275

عاجل: XSS مخزنة في “كاروستيل متعدد المشاركات حسب الفئة” (≤ 1.4) — ما يجب على مالكي مواقع ووردبريس القيام به الآن

ثغرة تم الكشف عنها مؤخرًا في إضافة ووردبريس “كاروستيل متعدد المشاركات حسب الفئة” (الإصدارات ≤ 1.4) تسمح لمستخدم مصدق بمستوى المساهم بتخزين حمولات البرمجة عبر المواقع (XSS) من خلال خاصية الشيفرة القصيرة “slides” الخاصة بالإضافة. تصنف الثغرة على أنها XSS مخزنة (دائمة) مع درجة شدة مشابهة لـ CVSS في النطاق المتوسط؛ تتطلب حساب مساهم مصدق لحقن الحمولة وتفاعلات معينة من المستخدم لتفعيلها.

إذا كانت موقعك يستخدم هذه الإضافة، اعتبر ذلك عملاً أمنيًا ذا أولوية عالية: قد يكون مسار الهجوم محدودًا بقدرة المهاجم، لكن تأثير XSS المخزنة الناجحة يمكن أن يكون شديدًا — من سرقة الجلسات والاستيلاء على حسابات الإدارة إلى تشويه الموقع وتسميم SEO. يشرح هذا المنشور المشكلة بمصطلحات عملية ويقدم استجابة قابلة للتنفيذ للحوادث، وتخفيفات فورية (بما في ذلك إصلاحات قصيرة الأجل للشفرة وقاعدة البيانات)، وتوصيات لتعزيز الأمان على المدى الطويل وقواعد WAF يمكنك تطبيقها على الفور.

المحتويات

ما هي الثغرة (بلغة بسيطة)
كيف يمكن للمهاجم استغلال ذلك — سيناريوهات هجوم واقعية
إجراءات فورية (0-24 ساعة)
تخفيفات مؤقتة للشفرة يمكنك تطبيقها الآن
خطوات قاعدة البيانات والكشف للعثور على المحتوى المحقون
قواعد وتوصيات تصحيح WAF/افتراضية
التعافي وتعزيز الأمان بعد الحادث
كيف يساعد WP‑Firewall — ملخص الخطة (المجانية) وكيفية البدء
الملحق: أوامر سريعة، استعلامات SQL و WP‑CLI

ما هي هذه الثغرة (بلغة بسيطة)

هذه ثغرة XSS مخزنة (دائمة) تنشأ من عدم كفاية تطهير بيانات المستخدم المقدمة المستخدمة في خاصية الشيفرة القصيرة (تسمى الخاصية “slides” في الإضافة المعرضة للخطر). يمكن لمهاجم لديه دور المساهم إنشاء منشور أو محتوى آخر يحتوي على الشيفرة القصيرة المعرضة للخطر مع حمولة خبيثة داخل خاصية slides. عندما يتم عرض الشيفرة القصيرة (إما على الواجهة الأمامية أو في سياقات إدارية معينة)، يتم تنفيذ JavaScript الخبيث في سياق المتصفح لأي شخص يشاهد تلك الصفحة — قد يكونون مسؤولين أو محررين أو زوار الموقع.

حقائق رئيسية:

البرنامج المعرض للخطر: إضافة كاروستيل متعدد المشاركات حسب الفئة، الإصدارات ≤ 1.4.
نوع الثغرة: XSS مخزنة.
الامتياز المطلوب للحقن: مستخدم مصدق بمستوى المساهم (أو أعلى).
تأثير الاستغلال: سرقة ملفات تعريف الارتباط الخاصة بالمصادقة/رموز الجلسة، إجراءات غير مصرح بها تتم في جلسة المصادقة الخاصة بالضحية، حقن محتوى خبيث، إعادة توجيه، بريد مزعج SEO، أو أبواب خلفية دائمة.
مشغل الاستغلال: عرض صفحة حيث يتم عرض الشيفرة القصيرة المحقونة، أو معاينة المحتوى في واجهة الإدارة (اعتمادًا على كيفية عرض الإضافة للشيفرة القصيرة في ذلك السياق).

نظرًا لأن الثغرة تستمر في المحتوى المخزن، يمكن أن تبقى كامنة في قاعدة البيانات الخاصة بك حتى يتم اكتشافها — ولهذا السبب يتطلب الأمر مزيجًا من الكشف والإزالة والضوابط الوقائية.

كيف يمكن للمهاجم استغلال ذلك بشكل واقعي (سيناريوهات التهديد)

فهم سلاسل الهجوم الواقعية يساعد في تحديد أولويات الاستجابة.

تصعيد من المساهم إلى المسؤول عبر معاينة منشور ضار
- يحصل المهاجم على حساب مساهم (حساب مخترق، أو مستخدم داخلي ضار).
- ينشئ المهاجم منشورًا يتضمن الشيفرة القصيرة الضعيفة مع حمولة JavaScript مدمجة في خاصية الشرائح.
- يقوم مسؤول أو محرر بمعاينة ذلك المنشور في إدارة WP (أو عرض الواجهة الأمامية حيث يتم عرض الشيفرة القصيرة). يتم تنفيذ البرنامج النصي في سياق متصفح المسؤول.
- يستغل البرنامج النصي جلسة المسؤول (أفعال مشابهة لـ CSRF، إنشاء مستخدم مسؤول جديد، تغيير البريد الإلكتروني، تصدير التكوين)، أو يستخرج ملفات تعريف الارتباط ورموز المصادقة إلى الخادم الذي يتحكم فيه المهاجم.
عدوى مستمرة في الواجهة الأمامية تؤثر على الزوار
- الشيفرة القصيرة الضارة مدمجة في صفحة عامة.
- أي زائر (أو مجموعة من الزوار المستهدفين) سيقوم بتشغيل البرنامج النصي المحقون عند عرض الصفحة.
- يمكن أن تشمل النتائج إعادة توجيه الزوار إلى مواقع تصيد أو برامج ضارة، حقن إعلانات/رسائل غير مرغوب فيها، أو إضافة محتوى ضار بشكل غير مرئي.
إساءة استخدام SEO/التوزيع
- يتسبب البرنامج النصي المحقون في قيام زواحف محركات البحث أو الروبوتات الآلية بفهرسة محتوى غير مرغوب فيه. وهذا يضر بسمعة SEO ويمكن أن يتسبب في أضرار طويلة الأجل في حركة المرور والإيرادات.
الحركة الجانبية والاستمرارية
- بعد التنفيذ في جلسة المسؤول، يقوم المهاجم بتثبيت باب خلفي، تعديل ملفات السمة/الإضافة، أو إنشاء مهام مجدولة مستمرة - مما يزيد من تكلفة وتعقيد التنظيف.

على الرغم من أن المتطلبات الفورية هي الوصول إلى المساهم، إلا أنه في العديد من مواقع WordPress يمكن الحصول على حسابات المساهم بسهولة (تسجيلات افتراضية، مؤلفون ضيوف، أو بيانات اعتماد معاد استخدامها). اعتبر الوصول إلى المساهم كحدود لا يجب الوثوق بها للإضافات التي تعالج الخصائص مع حقول قادرة على HTML.

الإجراءات الفورية (الساعات 0–24 الأولى)

هذه خطوات محافظة ذات أولوية يمكنك اتخاذها الآن. قم بها بالترتيب حتى تتمكن من تنفيذ إصلاح كامل.

تحديد المواقع المتأثرة
- ابحث عن أي مواقع تعمل بالإضافة وتحقق من الإصدارات. إذا كنت تدير عدة تثبيتات، استخدم أدوات الإدارة الخاصة بك لتحديد إصدارات الإضافات عبر المواقع.
إذا كانت هناك نسخة محدثة من الإضافة متاحة - قم بالتحديث على الفور
- إذا كان maintainer الإضافة قد أصدر نسخة محدثة، قم بتحديث الإضافة على جميع المواقع المتأثرة في أقرب وقت ممكن. قم بعمل نسخة احتياطية أولاً (قاعدة البيانات + wp-content).
إذا لم يكن هناك تصحيح بعد - قم بتعطيل الإضافة مؤقتًا
- قم بإلغاء تنشيط الإضافة حتى يتوفر تصحيح أو حتى تقوم بتطبيق تخفيف مؤقت. سيمنع ذلك عرض الشيفرة القصيرة وبالتالي يمنع المزيد من الاستغلال الفوري.
قيد أو راجع نشاط المساهمين
- قم مؤقتًا بمنع تسجيل المساهمين الجدد.
- راجع مستخدمي المساهمين الحاليين وقم بتعطيل أي حسابات مشبوهة.
- فرض إعادة تعيين كلمات المرور لمستخدمي المساهمين والتحرير إذا كان هناك شك في الاختراق.
تطبيق فلتر تنظيف محتوى قصير الأجل
- أضف فلتر “إسقاط السكربتات” لتنظيف المحتوى الحالي والمستقبلي (مثال موفر أدناه). هذه وسيلة فعالة ولكنها غير دقيقة.
قم بفحص الشيفرات القصيرة / المحتوى المشبوه (انظر قسم الكشف أدناه)
- قم بتشغيل عمليات الفحص SQL / WP‑CLI المقدمة لتحديد المشاركات التي تحتوي على الشيفرة القصيرة الضعيفة ومراجعة محتواها.
راقب السجلات وقم بتمكين التنبيهات
- راقب سجلات خادم الويب للتحميلات / المشاركات التي تتضمن نمط الشيفرة القصيرة الضعيفة. قم بتمكين التنبيهات عالية الحساسية أثناء معالجة الأمور.
إذا كنت تشك في الاختراق - اتبع خطوات الاستجابة للحوادث:
- قم بإيقاف الموقع على صفحة صيانة حتى يصبح آمنًا، أو قم بحظر الوصول من عناوين IP غير المعروفة.
- قم بعمل نسخة احتياطية من اللقطة للتحليل الجنائي (لا تقم بالكتابة فوقها).
- قم بتغيير كلمات مرور المسؤول، ومفاتيح API، وقم بتدوير أي أسرار.

تخفيفات مؤقتة يمكنك تطبيقها (آمنة، قابلة للعكس)

أدناه توجد تخفيفات عملية يمكنك إضافتها إلى السمة النشطة للموقع (functions.php) أو، من الأفضل، كإضافة mu صغيرة بحيث تظل التغييرات نشطة حتى إذا تم تبديل السمة.

مهم: دائمًا قم بعمل نسخ احتياطية من الملفات وقاعدة البيانات قبل تطبيق تغييرات الكود. اختبر على بيئة staging أولاً حيثما كان ذلك ممكنًا.

1) قم بإزالة / تعطيل الشيفرة القصيرة الضعيفة (الخيار المؤقت المفضل)

إذا كنت تستطيع تحديد علامة الشيفرة القصيرة المستخدمة من قبل الإضافة (على سبيل المثال mpc_carousel أو multi_post_carousel)، قم بإزالته حتى لا يتم تنفيذ معالج المكون الإضافي أبدًا.

مثال mu-plugin: تعطيل الشورت كود (قم بتعديل اسم العلامة ليتناسب مع المكون الإضافي)

<?php;

2) فلتر إزالة السكربت العالمي (قوة عمياء ولكن فعالة)

هذا يزيل 6. الكتل من محتوى المنشور كشبكة أمان مؤقتة. إنه غير دقيق ويمكن أن يكسر السكربتات الشرعية، لكنه يمنع تنفيذ السكربت المخزن.

<?php

3) تطهير فقط خاصية الشورت كود المخالفة

إذا كنت تعرف كيف يخزن المكون الإضافي الخصائص (وعلامة الشورت كود)، يمكنك إضافة فلتر لتطهير قيم خاصية الشرائح قبل الإخراج. هذا أكثر دقة ولكنه يتطلب معرفة صحيحة بعلامة الشورت كود. مثال (توضيحي):

add_filter('shortcode_atts_mpc_carousel', 'wpfirewall_sanitize_mpc_slides', 10, 3);

ملحوظة: اسم الفلتر الدقيق (shortcode_atts_{tag}) يعتمد على علامة الشورت كود الخاصة بالمكون الإضافي. إذا كنت غير متأكد، استخدم “إزالة الشورت كود” العالمية أو نهج “إزالة علامات السكربت” حتى تؤكد.

الكشف: ابحث عن المحتوى المحقون في قاعدة بياناتك والتحقق

XSS المخزنة تعيش في محتوى قاعدة البيانات (post_content، postmeta، خيارات الودجت، إلخ). فيما يلي استعلامات سريعة وفحوصات CLI لتحديد الإدخالات المشبوهة.

أ. SQL: البحث عن أنماط استخدام الشورت كود المحتملة
(قم بتعديل بادئة الجدول إذا لم تكن ووب_)

-- البحث عن المنشورات لشورت كود الكاروسيل;

ب. SQL: ابحث عن المشاركات التي تحتوي خاصية ‘slides’ على علامات الزاوية أو “javascript:”

SELECT ID, post_title, post_content;

ج. WP‑CLI: ابحث وعرض المشاركات المطابقة

# ابحث عن المشاركات التي تحتوي على علامة الشيفرة القصيرة

د. مسح postmeta والأدوات

البحث في wp_postmeta, خيارات wp (لأدوات), wp_comments للمحتوى المُدرج.
مثال SQL للخيارات:

SELECT option_name FROM wp_options;

هـ. تحقق من المراجعات
المحتوى الضار غالبًا ما يوجد في مراجعات المشاركات. استعلام wp_posts عن post_type = 'مراجعة'.

و. مؤشرات الاختراق التي يجب مراقبتها

مستخدمون إداريون غير متوقعين أو تغييرات في أدوار المستخدمين.
مهام مجدولة غير متوقعة (مدخلات cron).
تغيير أوقات تعديل ملفات الإضافات أو القوالب دون تحديثات مصرح بها.
اتصالات غريبة صادرة في سجلات الخادم (إلى مجالات المهاجمين).

WAF / التصحيح الافتراضي: قواعد لحظر محاولات الاستغلال

جدار حماية تطبيق الويب (WAF) أو التصحيح الافتراضي يمنحك حماية فورية عبر العديد من المواقع دون انتظار تحديثات الإضافات. فيما يلي أفكار قواعد عملية يمكنك تنفيذها في WAF الخاص بك أو ضوابط أمان التطبيق. هذه أنماط، وليست قواعد محددة للبائع.

الهدف الأساسي: حظر الطلبات التي تحاول حقن السكربتات في خاصية slides أو تضمين متجهات JS مشبوهة.

أنماط قواعد WAF المقترحة:

حظر/علامة طلبات POST التي تحتوي على علامة shortcode مدمجة مع علامات script:
النمط: \[mpc_carousel[^\]]*slides=.* (case‑insensitive)


Block attribute values containing "javascript:" or event handlers:

Pattern: slides=[^>]*javascript: or onerror=|onload=|onclick=|onmouseover=
Block POST/PUT requests that include angle brackets in shortcode attributes:

Pattern: slides=[^>]*<[^>]+>
Block attempts to save post content from accounts with the Contributor role that include script tags — this can be role-based blocking.


Example pseudo‑rule (modsec-style semantics):
SecRule REQUEST_METHOD "POST" "chain,deny,log,status:403,msg:'Blocked possible stored XSS via slides attribute'"
  SecRule ARGS_POST "@rx (\[mpc_carousel[^\]]*slides=.*<script)|(\bslides=.*javascript:)|(\bslides=.*on\w+=)" "t:none,ctl:requestBodyProcessor=URLENCODED"

Caveats:

Rules must be tuned to avoid false positives (some legitimate uses may include JSON-like slides data).
Use logging-only mode first to confirm detection before blocking.
If your WAF supports virtual patching, deploy a rule that removes <script> tokens from saved post content or rejects save requests containing script tokens in shortcodes.


Recovery and incident response playbook (if you are compromised)
If you detect that XSS payloads were executed and an admin session was likely compromised, follow this playbook:

Isolate and snapshot

Take snapshots of database and filesystem for forensic analysis. Preserve logs.


Reset credentials and keys

Reset all administrator and high‑privilege user passwords.
Rotate API keys, tokens, and any secrets stored on the site.


Remove malicious content

Use the SQL/WP‑CLI scans above to find and remove malicious shortcodes and script tags.
Restore affected posts from known-good revisions or backups.


Clean or reinstall modified files

Compare plugin and theme files with known-good copies from the WordPress.org repository or vendor archive.
Reinstall plugins and themes from official sources when possible; replace modified files rather than editing in place.


Backdoors & persistence checks

Search for suspicious PHP files in wp-content/uploads, mu-plugins, and theme/plugin directories.
Check for new admin users or unexpected scheduled tasks (wp_cron entries).
Review the database for unusual options and transient data.


Post-recovery hardening

Enforce least privilege and limit who can publish or insert HTML/shortcodes (see role recommendations).
Apply WAF virtual patches to block similar attempts.
Implement Content Security Policy (CSP) to make exploitation harder for future XSS.


Post-mortem and notification

Document timeline: initial injection, discovery, remediation steps.
Notify stakeholders and, if customer data was exposed, follow applicable breach disclosure laws.




Long-term hardening and best practices
The vulnerability highlights a few recurring themes in WordPress security. Use these to reduce risk going forward.

Least privilege and role separation

Ensure the Contributor role cannot insert raw HTML or scripts. Consider using a custom role that restricts shortcode use or requiring approval for posts.


Restrict plugin capabilities

Plugins that accept complex user input should validate on both input and output. If a plugin exposes shortcode attributes that accept HTML or structured data, the plugin author must sanitize and encode output.


Sanitize & escape output

Plugin developers must use functions such as esc_attr(), wp_kses_post(), and esc_html() when inserting attribute values into HTML. Attributes containing lists or IDs should only accept a validated whitelist (e.g., numeric IDs, comma-separated integers).


Use WAF / virtual patching

Maintain WAF rules that detect suspicious shortcode injection patterns. Virtual patches are critical when plugin maintainers are slow to release fixes.


Content Security Policy (CSP)

Enforce CSP for admin and front-end pages to limit allowed script sources. While CSP is not a panacea, it raises the exploitation cost for XSS.


Regular scanning & integrity checking

Schedule automated scans for injected content, unexpected file changes, and suspicious shortcodes. Automated integrity checks for plugin and theme files help spot tampering early.


Developer checklist for shortcodes

Validate attribute format.
Strip tags from attributes that must be plain text.
Escape before output.
Restrict complex or HTML attributes to trusted user roles.




How WP‑Firewall helps (and a free plan you can start with)
Protect Your Site Immediately — Start with WP‑Firewall Free
At WP‑Firewall we provide layered protection designed to catch exactly these kinds of problems: managed firewall rules, virtual patching, automated scanning, and remediation tools. If you want to get basic managed protections immediately while you investigate and remediate, start with the WP‑Firewall Basic (Free) plan:

Basic (Free)

Essential protection: managed firewall with WAF rules, unlimited bandwidth for the firewall edge, a malware scanner to detect injected scripts and backdoors, and mitigation against OWASP Top 10 risks.


Standard ($50/year — USD 4.17/month)

Everything in Basic, plus automatic malware removal and the ability to blacklist/whitelist up to 20 IPs.


Pro ($299/year — USD 24.92/month)

Everything in Standard, plus monthly security reports, automatic vulnerability virtual patching, and access to premium add‑ons (dedicated account manager, security optimization, support tokens, and managed services).



Signup and get rapid coverage
Why consider this while you fix plugin issues?

Virtual patching can block XSS attempts in-flight while you wait for an official plugin patch.
Managed rules are tuned to reduce false positives while stopping common exploitation patterns.
The scanner helps you locate persistent harmful content so you can remove it quickly.

If you manage multiple WordPress sites, even the Basic plan provides a significant, immediate reduction in attack surface while you carry out the manual cleanup steps outlined above.

Appendix — Quick SQL and WP‑CLI references
A. Search posts for shortcodes containing "slides=":
SELECT ID, post_title, post_date
FROM wp_posts
WHERE post_content LIKE '%slides=%'
  AND post_status IN ('publish', 'draft', 'pending', 'future');

B. Remove script tags from post_content (dangerous — do a backup first)
UPDATE wp_posts
SET post_content = REGEXP_REPLACE(post_content, '<script[^>]*>.*?</script>', '', 'gi')
WHERE post_content REGEXP '<script[^>]*>.*?</script>';

Note: REGEXP_REPLACE availability depends on your MySQL/MariaDB version. Test on a copy first.
C. WP‑CLI: List posts with 'slides=' in content
wp post list --post_type=post,page --format=csv --field=ID,post_title | \
  while IFS=, read -r id title; do
    content=$(wp post get "$id" --field=post_content)
    echo "$content" | grep -qi "slides=" && echo "Matched: ID=$id Title=$title"
  done

D. Find revisions with risky content
SELECT p.ID, r.post_parent, r.post_modified, r.post_content
FROM wp_posts r
JOIN wp_posts p ON r.post_parent = p.ID
WHERE r.post_type = 'revision'
  AND r.post_content LIKE '%slides=%';


Final recommendations — prioritized checklist

Immediately identify impacted sites and plugin versions.
If a vendor patch is available, update right away (backup first).
If no patch is available, deactivate plugin or apply the temporary remove‑shortcode / strip‑script filters.
Implement WAF rules to block shortcode-based script payloads and javascript: occurrences in payloads.
Scan DB for injected shortcodes and remove malicious entries; inspect revisions and options.
Rotate credentials and review recent admin/editor activity.
Harden contributor/user roles and enforce least privilege.
Maintain backups and deploy ongoing scanning and monitoring.


If you need rapid help applying temporary patches or performing a clean-up, WP‑Firewall's team can assist with triage, virtual patching, and remediation workflows that reduce time-to-mitigation. Start with the free plan to get managed firewall protection, then pick the tier that matches your operational needs: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Stay safe — treat shortcodes and plugin attributes that can contain markup as untrusted input. Sanitize early, escape late, and apply layered defenses.

منع XSS في Carousel متعدد المشاركات لـ WordPress // نُشرت في 2026-03-23 // CVE-2026-1275

عاجل: XSS مخزنة في “كاروستيل متعدد المشاركات حسب الفئة” (≤ 1.4) — ما يجب على مالكي مواقع ووردبريس القيام به الآن

المحتويات

ما هي هذه الثغرة (بلغة بسيطة)

كيف يمكن للمهاجم استغلال ذلك بشكل واقعي (سيناريوهات التهديد)

الإجراءات الفورية (الساعات 0–24 الأولى)

تخفيفات مؤقتة يمكنك تطبيقها (آمنة، قابلة للعكس)

1) قم بإزالة / تعطيل الشيفرة القصيرة الضعيفة (الخيار المؤقت المفضل)

2) فلتر إزالة السكربت العالمي (قوة عمياء ولكن فعالة)

3) تطهير فقط خاصية الشورت كود المخالفة

الكشف: ابحث عن المحتوى المحقون في قاعدة بياناتك والتحقق

WAF / التصحيح الافتراضي: قواعد لحظر محاولات الاستغلال

Recovery and incident response playbook (if you are compromised)

Long-term hardening and best practices

How WP‑Firewall helps (and a free plan you can start with)

Protect Your Site Immediately — Start with WP‑Firewall Free

Appendix — Quick SQL and WP‑CLI references

Final recommendations — prioritized checklist

احصل على WP Security Weekly مجانًا 👋
أفتح حساب الأن!!

اتصل بنا لتحديد موعد استشارة مجانية حول أمان WordPress

منع XSS في Carousel متعدد المشاركات لـ WordPress // نُشرت في 2026-03-23 // CVE-2026-1275

عاجل: XSS مخزنة في “كاروستيل متعدد المشاركات حسب الفئة” (≤ 1.4) — ما يجب على مالكي مواقع ووردبريس القيام به الآن

المحتويات

ما هي هذه الثغرة (بلغة بسيطة)

كيف يمكن للمهاجم استغلال ذلك بشكل واقعي (سيناريوهات التهديد)

الإجراءات الفورية (الساعات 0–24 الأولى)

تخفيفات مؤقتة يمكنك تطبيقها (آمنة، قابلة للعكس)

1) قم بإزالة / تعطيل الشيفرة القصيرة الضعيفة (الخيار المؤقت المفضل)

2) فلتر إزالة السكربت العالمي (قوة عمياء ولكن فعالة)

3) تطهير فقط خاصية الشورت كود المخالفة

الكشف: ابحث عن المحتوى المحقون في قاعدة بياناتك والتحقق

WAF / التصحيح الافتراضي: قواعد لحظر محاولات الاستغلال

Recovery and incident response playbook (if you are compromised)

Long-term hardening and best practices

How WP‑Firewall helps (and a free plan you can start with)

Protect Your Site Immediately — Start with WP‑Firewall Free

Appendix — Quick SQL and WP‑CLI references

Final recommendations — prioritized checklist

احصل على WP Security Weekly مجانًا 👋أفتح حساب الأن!!

اتصل بنا لتحديد موعد استشارة مجانية حول أمان WordPress

احصل على WP Security Weekly مجانًا 👋
أفتح حساب الأن!!