باحث أمني عربي يكشف 3 ثغرات خطيرة في إضافة Rank Math SEO.. وتحديث عاجل لحماية مواقع ووردبريس

كشف الباحث الأمني العربي محمد عبد الرحمن، بمساعدة المهندسة أسيل ياسر، عن ثلاث ثغرات أمنية في إضافة Rank Math SEO الشهيرة المستخدمة لتحسين ظهور المواقع في محركات البحث، وذلك بعد اكتشاف مشكلات في التحقق من صلاحيات المستخدمين عبر واجهة برمجية حديثة في نظام ووردبريس.

وتسمح الثغرات، وفقًا للتفاصيل المنشورة، لبعض المستخدمين بتنفيذ عمليات تتجاوز الصلاحيات الممنوحة لهم، بما يشمل تغيير إعدادات أساسية للموقع، والوصول إلى مسودات غير منشورة، وتعديل بيانات منشورات وتصنيفات تخص مستخدمين آخرين.

وتكتسب هذه الثغرات أهمية خاصة بسبب انتشار إضافة Rank Math على ملايين المواقع، واعتماد أصحاب المواقع عليها لإدارة عناوين الصفحات وأوصافها وإعدادات تحسين محركات البحث.

الثغرة الأولى: محرّر يستطيع تغيير إعدادات المدير

تحمل الثغرة الأولى الرقم CVE-2026-77786، وتسمح لمستخدم يمتلك صلاحية محرّر (Editor) باستدعاء وظيفة الإصلاح التلقائي لمشكلات تحسين محركات البحث، وإجراء تغييرات في إعدادات أساسية داخل ووردبريس يُفترض أن تظل حصرية للمدير.

ويرجع الخلل إلى عدم تحقق الإضافة من امتلاك المستخدم الصلاحيات اللازمة لكل إعداد يجري تغييره خلال عملية الإصلاح، ما يتيح للمحرّر تنفيذ تعديلات تتجاوز حدود دوره.

وتكمن الخطورة في إمكانية استغلال حساب محرّر مخترق للتلاعب بإعدادات الموقع دون ملاحظة فورية، وهو ما قد ينعكس لاحقًا على ظهوره في نتائج محركات البحث وأدائه.

الثغرة الثانية: الوصول إلى مسودات مستخدمين آخرين

تحمل الثغرة الثانية الرقم CVE-2026-77785، وتتيح لمستخدم يمتلك صلاحية كاتب (Author) أو أعلى الاطلاع على عناوين ومحتويات وبيانات منشورات غير منشورة تخص مستخدمين آخرين.

وتنشأ المشكلة من إحدى الوظائف المتاحة عبر واجهة Abilities API، التي كانت تستقبل رقم المنشور وتعيد بياناته دون التحقق من امتلاك المستخدم حق الوصول إليه.

وبالتالي، كان من الممكن تمرير معرّف المنشور للحصول على محتوى مسودة لا يملك المستخدم صلاحية الاطلاع عليها.

وقد يشكل ذلك تهديدًا للمواقع الإخبارية والشركات التي تحتفظ بمحتوى سري أو إعلانات ومنتجات لم يحن موعد الكشف عنها، إذ يمكن أن يؤدي الوصول غير المصرح به إلى تسريب معلومات قبل نشرها رسميًا.

الثغرة الثالثة: تعديل بيانات منشورات الآخرين

تحمل الثغرة الثالثة الرقم CVE-2026-77787، وتسمح لمستخدم يمتلك صلاحية كاتب أو أعلى بتعديل بيانات تحسين محركات البحث الخاصة بتصنيفات ووسوم لا يملك حق تحريرها، إلى جانب إمكانية تغيير عناوين منشورات تخص مستخدمين آخرين.

وتتعلق المشكلة بوظيفة التحديث الجماعي للبيانات الوصفية، التي لم تكن تتحقق بصورة كافية من صلاحيات المستخدم عند التعامل مع التصنيفات والوسوم، فضلًا عن وجود خلل في التمييز بين المعرّفات الرقمية لأنواع مختلفة من الكائنات داخل ووردبريس.

فقد يحمل أحد المنشورات وتصنيف معين الرقم نفسه، نظرًا إلى استخدام أنظمة مستقلة للمعرّفات. وعندما لا تميز الإضافة بصورة صحيحة بين نوعي الكائنات، قد يؤدي طلب موجه لتعديل بيانات تصنيف إلى تغيير عنوان منشور يحمل المعرّف الرقمي نفسه، حتى لو كان تابعًا لمستخدم آخر.

ما القاسم المشترك بين الثغرات الثلاث؟

تكشف الثغرات عن مشكلة أساسية في التحقق من صلاحيات المستخدمين عند إتاحة وظائف الإضافة عبر واجهات برمجية جديدة.

فقد تكون الوظيفة محمية داخل لوحة تحكم ووردبريس، لكن إتاحتها عبر مسار برمجي آخر دون تطبيق فحوصات الصلاحيات نفسها قد تسمح بتجاوز الحماية.

وتزداد أهمية هذه المشكلة مع توسع استخدام أدوات الذكاء الاصطناعي وأنظمة الأتمتة التي تعتمد على الواجهات البرمجية لتنفيذ مهام داخل المواقع، ما يجعل مراجعة كل مسار جديد للوصول إلى الوظائف ضرورة أمنية.

الباحث الأمني محمد عبد الرحمن يبلغ عن الثغرات

أبلغ الباحث الأمني محمد عبد الرحمن، بمساعدة المهندسة أسيل ياسر، عن الثغرات الثلاث عبر قناة الإفصاح المسؤول، وتعامل فريق Rank Math مع البلاغات وأصدر الإصلاحات اللازمة ضمن الإصدار 1.0.277.

كما سُجلت الثغرات في قاعدة بيانات WPScan وسجلات CVE الرسمية تحت الأرقام:

CVE-2026-77786

CVE-2026-77785

CVE-2026-77787

كيف تحمي موقعك من الثغرات؟

ينبغي لأصحاب المواقع التي تستخدم إضافة Rank Math SEO اتخاذ الإجراءات التالية:

تحديث الإضافة إلى الإصدار 1.0.277 أو أحدث لضمان الحصول على الإصلاحات الأمنية.

مراجعة صلاحيات المستخدمين والتأكد من منح كل حساب الأذونات الضرورية لمهامه فقط.

تعطيل حسابات المتعاونين السابقين التي لم تعد مستخدمة.

عدم الاعتماد على تصنيف الخطورة وحده لتقدير الأضرار المحتملة، لأن تسريب مسودة أو تغيير إعدادات الموقع قد تكون له عواقب كبيرة بحسب طبيعة المحتوى.

ويؤكد اكتشاف الثغرات أهمية التحديث المستمر للإضافات ومراجعة صلاحيات الحسابات، خصوصًا في المواقع التي تضم عدة محررين وكتّاب وتستخدم أدوات الأتمتة والذكاء الاصطناعي.