Events Manager 7.4.11: تسع ثغرات انسكّرت، ووحدة بتكشف حجوزات غيرك
يوم 25 تشرين الأول نزّلت Events Manager الإصدار 7.4.11 وPro 3.9.8: تسع مشاكل أمنية لقاها تلاتة باحثين بأول أيام مسابقة الصيد، من كشف بيانات بلا دخول لحجز غيرك. حدّث قبل ما تننشر التفاصيل.
إذا موقعك بيستعمل Events Manager لحجز الفعاليات، يوم 25 تشرين الأول 2026 صار عندك تحديث ما بيستنى. الإصدار 7.4.11 للإضافة المجانية و3.9.8 لـ Pro بيسكّروا تسع مشاكل أمنية، والفريق حجب تفاصيلها عمداً لحتى المواقع تحدّث قبل ما يعرفها الكل. يعني نافذة التحديث الآمن مفتوحة هلق، بس مش لوقت طويل.
شو نزل يوم 25 تشرين الأول؟
Events Manager نزّلت يوم 25 تشرين الأول 2026 إصدارين أمنيين مع بعض: 7.4.11 للإضافة المجانية و3.9.8 لـ Pro، ومعهن تحديثين للإضافتين: Stripe 2.5.2 وConnect 1.0.1. الإصدارات الأربعة طلعت بنفس اليوم، وكلها من نتائج مسابقة الصيد الأمني يلي فتحها الفريق الأسبوع الماضي.
بأول أيام المسابقة، تلاتة باحثين بلّغوا عن تسع مشاكل أمنية بالإضافة وPro والإضافتين، والفريق أعاد إنتاجها كلها وأصلحها قبل ما تننشر أي تفاصيل. المنشور الرسمي بيقول صراحة إن التفاصيل محجوبة هلق لحتى المواقع تحدّث أولاً، وإن لوحة النتائج رح تننشر بالأيام الجاية.
أي ثغرة بتأثر عليك أكتر؟
بالإضافة المجانية في خمس إصلاحات. أخطر وحدة على خصوصية زباينك هي حجز غيرك: مساهم أو مؤلف بيقدر يعيد حفظ حجز مستخدم تاني على فعالية هو مالكها، فيشوف تفاصيل الحاجز. يعني دور واطئ بالموقع بيوصله لبيانات ناس ما إلها علاقة فيه.
وفي كشف بيانات بلا دخول من جهتين: وحدة بتكشف تفاصيل مالك الفعالية، والتانية بتكشف فعاليات وأماكن مسودة ومعلّقة ومحذوفة بمعاملات حالة الطلب. أي زائر بلا حساب بيقدر يشوف شي كان لازم يضل مخفي لحد النشر.
أما بـ Pro ففي إصلاحين: ثغرة XSS مخزنة بلا دخول برفع ملفات نموذج الحجز، وإصلاح بيخلّي فحص الكوبون يطلب nonce نموذج الحجز، فما عاد فيك تجرّب كوبونات بشكل مجهول لحد ما تلاقي واحد شغال.
هاد النمط شفناه قبلها بإضافات ووردبريس: دور واطئ بيوصل لصلاحية أعلى أو لبيانات غيره. إضافة aBlocks كان فيها مساهم بيصير محرر بثغرة تصعيد صلاحيات، وهون مساهم بيوصل لحجز غيره. الفرق إن Events Manager أصلحت كل شي بدفعة وحدة قبل نشر التفاصيل.
وشو قصة إضافتي Stripe وConnect؟
إضافة Stripe 2.5.2 بتصلّح ثغرة دفع: عملية دفع وحدة مدفوعة بـ Stripe PaymentIntent كانت بتقدر توافق على أكتر من حجز. يعني زبون دفع مرة، والنظام بيوافق على حجوزات إضافية ما اندفع حقها. إذا بتاخد حجوزات مدفوعة من بوابة Stripe Elements، هاد الإصلاح لحاله بيستاهل التحديث اليوم.
وإضافة Connect 1.0.1 بتشدّد فحص أسرار webhook لواتساب وتيليغرام: بترفض الأسرار الفاضية والمزوّرة، وبتقارن بمقارنة ثابتة الزمن. أي تكامل بيعتمد على سر webhook ضعيف الفحص بيضل باب مفتوح لطلبات مزيّفة.
ليش التفاصيل محجوبة هلق؟
لأن الفريق اختار الكشف المسؤول على حساب الفضول. المسابقة شغالة، والباحثين عم يلاقوا ثغرات، ولو اننشرت التفاصيل قبل ما تحدّث المواقع، كل موقع قديم بيصير هدف جاهز. المنشور بيقول إن لوحة النتائج جاية بالأيام الجاية، والمسابقة مستمرة لحد 30 تشرين الثاني، والفائز بياخد رخصة Pro مدى الحياة.
هاد الترتيب بيخدمك إذا تحركت هلق: حدّث وإنت مرتاح، وبعدها اقرا التفاصيل لما تننشر وتأكد إن إصلاحك غطاها. وإذا تأخرت، رح تقرا التفاصيل وإنت لسا مكشوف.
شو تعمل هلق؟
الترتيب مهم: التحديث أولاً، وبعدين المراجعة، والإيقاف المؤقت بس إذا ما بتقدر تحدّث هلق.
حدّث الإضافة المجانية لـ Events Manager 7.4.11 وPro لـ 3.9.8 من لوحة ووردبريس.
إذا عندك إضافة Stripe، حدّثها لـ 2.5.2، وإذا عندك Connect، حدّثها لـ 1.0.1.
راجع حجوزاتك الأخيرة على أي حجز توافق عليه بلا دفع مطابق، وعلى أي حساب مساهم أو مؤلف تعدّل على حجوزات غيره.
إذا ما بتقدر تحدّث هلق، وقّف استقبال حجوزات مدفوعة من Stripe مؤقتاً لحد ما تحدّث، لأنه ثغرة الدفع هي يلي فيها خسارة مباشرة.
ولا تنسى إن إضافات ووردبريس التانية عندك ممكن تكون بنفس الوضع. مفاتيح UpdraftCentral المسروقة فتحت أبواب خلفية بمواقع ووردبريس، والتحديث المتأخر كان جزء من المشكلة هونيك كمان.
إمتى آخر مرة راجعت إضافات ووردبريس عندك؟
تسع ثغرات بدفعة وحدة مش إشارة إن الإضافة سيئة. هي إشارة إن حدا عم يدقّق فيها بجدية هلق، وإن الدفعة الجاية من النتائج جاية مع لوحة المسابقة. إذا عندك Events Manager على موقعك، حدّث اليوم، وبعدها اسأل حالك: أي إضافة تانية عندك ما تحدّثت من شهور، ومين عم يدقّق فيها هلق؟
إذا بدك حدا يفحص هالإعدادات قبل ما يلاقيها غيرك، مُحَصَّن بيفحص منصتك وبيسلّمك خطة إصلاح واضحة.
أسئلة شائعة
أنا على أي نسخة لازم أفحص إذا كنت متأثر؟
الإضافة المجانية قبل 7.4.11، وPro قبل 3.9.8، وإضافة Stripe قبل 2.5.2، وإضافة Connect قبل 1.0.1. إذا نسختك أقدم من وحدة منهن، حدّثها.
هل الثغرات مستغلة هلق؟
المنشور الرسمي ما بيقول إنها مستغلة، والتفاصيل محجوبة عمداً لحتى المواقع تحدّث أولاً. هاد ما بيعني إنك بأمان إذا تأخرت: التفاصيل رح تننشر، والتحديث هو يلي بيسكّر الباب.
إذا ما باخد دفع بـ Stripe، هل إضافة Stripe بتعنيني؟
لأ، إذا ما بتستعمل بوابة Stripe Elements للدفع. ثغرة الدفع بتأثر بس على المواقع يلي بتاخد حجوزات مدفوعة من هالبوابة.
شو هي مسابقة Security Hunt؟
مسابقة فتحتها Events Manager الأسبوع الماضي: أي حدا بيوجّه ذكاء اصطناعي على الكود وببلّغ عن ثغرة. المسابقة مستمرة لحد 30 تشرين الثاني، والفائز بياخد رخصة Pro مدى الحياة، ولوحة النتائج رح تننشر بالأيام الجاية.
