ثغرة CSRF في Elementor: ما الذي ينبغي لمالكي مواقع WordPress معرفته؟

ثغرة CVE-2026-62062 هي تزوير للطلبات عبر المواقع (CSRF) في إضافة Elementor Website Builder الخاصة بووردبريس. وقد يستغلها مهاجم لا يملك حسابًا على الموقع لخداع مدير مسجّل الدخول ودفع متصفحه إلى تنفيذ إجراء بصلاحياته، من بينها إنشاء حساب مدير جديد يسيطر عليه المهاجم. الإصداران المحددان على أنهما متأثران هما 4.3.0 و4.3.1، وقد عولجت المشكلة في 4.3.2. 2323

كيف يمكن أن يعمل الهجوم؟

لا يحتاج المهاجم إلى امتلاك حساب في الموقع المستهدف. لكن نجاح السيناريو يتطلب أن يكون مدير الموقع مسجّل الدخول، وأن يفتح رابطًا مُعدًّا لهذا الغرض. عندها يستخدم المتصفح جلسة المدير القائمة وصلاحياته لإرسال طلب إلى واجهة REST API في ووردبريس. ووفقًا لـPatchstack، يمكن أن يكون الرابط عاديًا ضمن رسالة بريد إلكتروني أو محادثة أو تعليق؛ ولا يتطلب صفحة يسيطر عليها المهاجم أو شيفرة JavaScript. وفي تثبيت اعتيادي، قد ينتهي الأمر بإنشاء حساب مدير إضافي. 2

هذا هو جوهر هجوم CSRF: استدراج متصفح مستخدم موثّق لتنفيذ طلب يملك المستخدم صلاحية إجرائه. لا يعني ذلك أن المهاجم سجّل الدخول بنفسه بصفة مدير.

الإصدارات المتأثرة وما نعرفه عن المسارات

تحدد التقارير الإصدارين 4.3.0 و4.3.1 على أنهما متأثران، وتذكر سجلات الثغرات نطاقًا أوسع يشمل الإصدارات حتى 4.3.1. الإصدار 4.3.2 هو النسخة المُصلحة. 2323

وتصف التقارير المشكلة بأنها تجاوز للتحقق من رمز nonce المستخدم لحماية طلبات REST API في ووردبريس. وتشير تقارير ثانوية إلى فحص URI يتضمن النص elementor/v1/events/، لكن المعلومات المتاحة لا تثبت قائمة كاملة وموثوقة بأسماء مسارات REST API المتأثرة. 1719

درجة الخطورة والجدول الزمني

حصلت الثغرة على تقييم 8.8 من 10، بدرجة «عالية» في سجل CVE. 34 وذكرت BleepingComputer أن Patchstack أبلغت فريق Elementor بالمشكلة في 22 سبتمبر 2026، فيما نُشر سجل CVE في 25 سبتمبر 2026. ويؤرخ تقرير ثانوي إصدار النسخة 4.3.2 في 24 سبتمبر، كما تحدد Patchstack وWPScan هذا الإصدار بوصفه النسخة التي تعالج الخلل. 18222326

ما الذي ينبغي لمالكي المواقع فعله؟

1. حدّث Elementor إلى الإصدار 4.3.2 أو أحدث. تحدد Patchstack الإصدار 4.3.2 بوصفه النسخة التي أصلحت الثغرة. 23
2. راجع حسابات المديرين وابحث عن أي حساب لا تتعرف عليه، نظرًا إلى أن الأثر المحتمل يشمل إنشاء حساب مدير جديد. 2
3. إذا تعذّر التحديث فورًا، فتحقق من توافر قاعدة التخفيف من Patchstack لديك. تقول الشركة إنها أصدرت قواعد تخفيف، لكنها توصي بالتحديث لمعالجة الثغرة. 223

هل ثبت استغلال الثغرة فعليًا؟

تذكر مصادر تتبّع الثغرات وجود إثبات لمفهوم (PoC)، لكن المعلومات المتاحة هنا لا تؤكد وقوع هجمات فعلية على مواقع في العالم الحقيقي. ولا تسجل صفحة Feedly استغلالًا للثغرة، كما لا تعرض قائمة CyStack ثغرات مستغلة معروفة لهذا الخلل. وجود إثبات لمفهوم منشور لا يعني بحد ذاته أن موقعًا قد تعرض للهجوم. 81113