تُعدّ Swiper واحدة من أشهر مكتبات السلايدر على الإنترنت، ويستخدمها Elementor في جميع الدوّارات (carousels) والمعارض الخاصة به. في فبراير 2026 أصلح مطوّرو Swiper ثغرة حرجة تحمل الرقم CVE-2026-27212. لكن حتى منتصف أكتوبر لا تزال أحدث نسخة من Elementor، وهي 4.3.5، تضم Swiper 8.4.5، أي نسخة لا تتضمن هذا الإصلاح.
لاحظنا ذلك خلال الفحص الأمني الشهري الذي تجريه EvoEX لمواقع عملائها. في هذا المقال نشرح ما الذي يعاني من الخلل بالضبط، وما حجم الخطر الفعلي، وماذا تفعل إلى أن يصدر Elementor الإصلاح.
ما هي Swiper ولماذا هي موجودة في موقعك
Swiper مكتبة JavaScript توفّر سلايدرات قابلة للسحب: دوّارات الصور، وسلايدرات آراء العملاء، ومعارض المنتجات. يدمجها Elementor داخل إضافته (في المجلد elementor/assets/lib/swiper/v8/) ويحمّلها في الصفحات التي تستخدم أحد عناصر السلايدر. إذا كان موقعك مبنيًا بـ Elementor، فمن المرجّح أن Swiper موجودة فيه حتى لو لم تسمع بها من قبل.
ما هي الثغرة
CVE-2026-27212 ثغرة من نوع “prototype pollution”، وقد صنّفتها قاعدة بيانات الأمان في GitHub على أنها حرجة. تؤثر في إصدارات Swiper من 6.5.1 إلى 12.1.1؛ والإصلاح متوفر في الإصدار 12.1.2 الذي صدر في 18 فبراير 2026.
بعبارة بسيطة: إذا استطاع المهاجم تمرير إعدادات مُعدّة خصيصًا إلى Swiper، فيمكنه تعديل الكائنات الأساسية في JavaScript داخل المتصفح. الإصلاح السابق كان يفحص الكلمات المفتاحية المحظورة، لكن كان من الممكن الالتفاف عليه باستخدام المصفوفات. وتعتمد العواقب على ما يحدث لاحقًا في الصفحة، وفي أسوأ الأحوال قد يفتح ذلك الطريق لتنفيذ شيفرة خبيثة في متصفح الزائر.
لماذا لم يصلحها Elementor بعد
لا يزال Elementor يستخدم الإصدار 8 من Swiper، والانتقال إلى الأحدث (حاليًا 14.x) يعني تغييرات كبيرة قد تُعطّل السلايدرات الحالية في آلاف المواقع. لذلك بقيت النسخة الضعيفة في الإضافة نحو ثمانية أشهر. تحققنا من ذلك في 15 أكتوبر: يحمّل Elementor 4.3.5 وElementor Pro 4.3.2 الملف swiper.min.js?ver=8.4.5.
ما حجم الخطر الفعلي
هنا الخبر الجيد. إعدادات سلايدر Elementor تأتي من المحرّر، ولا يستطيع تغييرها سوى مدير الموقع أو المحرّر. أما الزائر العادي من الخارج فلا يمكنه التأثير فيها. ولاستغلال هذه الثغرة عبر عناصر Elementor، يجب أن يملك المهاجم أصلًا وصولًا إلى لوحة الإدارة، وعندها تتوفر له طرق أبسط بكثير لإفساد الموقع.
لذلك فإن الخطر العملي على معظم مواقع Elementor منخفض. وقد يختلف الوضع إذا كان في الموقع إضافات أخرى أو شيفرة مخصصة تبني إعدادات Swiper من معاملات URL أو من بيانات يدخلها المستخدم.
ماذا تفعل الآن
- حدّث Elementor وElementor Pro إلى أحدث الإصدارات. هذا لا يحل مشكلة Swiper بعد، لكنه يغلق ثغرات أخرى، مثل CVE-2026-32475 في رفع الملفات عبر Elementor Pro.
- احمِ حسابات المديرين: كلمات مرور قوية ومصادقة ثنائية لكل من لديه وصول إلى المحرّر. هذه هي طبقة الحماية الرئيسية لهذه الثغرة تحديدًا.
- افحص الإضافات الأخرى التي تستخدم السلايدرات. إذا كانت إحداها تحمّل نسختها الخاصة من Swiper، فتأكد أنها 12.1.2 أو أحدث.
- لا تعدّل ملف Swiper يدويًا. قد لا يعمل Elementor مع نسخة أحدث من Swiper، وسيستبدل التحديث التالي للإضافة تعديلك على أي حال.
كيف اكتشفنا ذلك
نجري لمواقع عملاء EvoEX فحصًا أمنيًا آليًا كل شهر باستخدام OWASP ZAP، يفحص الموقع من الخارج تمامًا كما يفعل مهاجم محتمل: المكتبات القديمة، ورؤوس الأمان، والملفات المتاحة للعموم. وهذه المرة اكتشف Swiper 8.4.5. وبمجرد أن يصدر Elementor نسخة تتضمن Swiper المُصلَحة، سنحدّث مواقع عملائنا وسيؤكد الفحص التالي ذلك.
إذا أردت معرفة ما إذا كان موقعك يعاني من ثغرات مشابهة، تواصل معنا وسنفحصه لك.