CVE-2026-104767

اسم البرنامج المصاب والإصدارات المتأثرة Membership & User Roles for WooCommerce (Automatic Role Changer) الإصدارات السابقة لـ 20260829

الوصف توجد مشكلة حيث تقوم الدالة maybe add role to user() بإعادة تعيين كل دور مخزن في ذاكرة التخزين المؤقت لبيانات المستخدم dfxwcrc foreign roles دون التحقق مما إذا كانت هذه الأدوار لا تزال نشطة. يتفاقم هذا الأمر بسبب الدالة remember foreign roles() التي تدمج الأدوار الجديدة في ذاكرة التخزين المؤقت ولكنها تفشل في إزالة الأدوار التي تم إلغاؤها. يمكن للمستخدمين المصرح لهم الذين لديهم وصول بمستوى مشترك أو أعلى استعادة دور المسؤول الذي تم إلغاؤه سابقاً في حساباتهم عن طريق تحفيز حدث تعيين دور، مثل شراء منتج مرتبط بدور معين. يتيح ذلك للمهاجم الحصول على تحكم إداري كامل في الموقع. يتطلب الاستغلال الناجح تفعيل وضع Replace Roles وأن يكون المستخدم قد حصل سابقاً على دور المسؤول أثناء نشاط الإضافة.

التوصيات تحديث الإضافة إلى إصدار أحدث من 20260828. تعطيل وضع Replace Roles كإجراء تخفيف مؤقت.