PT-2026-130623
CVE-2026-109516
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Bot for Telegram on WooCommerce الإصدارات السابقة لـ 1.3.1
الوصف
يوجد خلل في تجاوز المصادقة يسمح للمهاجمين غير المصرح لهم بالاستيلاء على أي حساب، بما في ذلك حسابات المسؤولين، باستخدام اسم المستخدم فقط. تحدث هذه المشكلة لأن نقطة نهاية REST
/wp-json/woo-telegram/v1/main/ مسجلة بدون فحوصات أذونات مناسبة وتفشل في التحقق من توقيعات webhook الخاصة بـ Telegram. يمكن للمهاجم إرسال تحديث بوت مزيف مع تعيين message.chat.id ليكون اسم تسجيل دخول WordPress المستهدف. تقوم الدالة bftow get user system id() بتحليل هذه القيمة عبر get user by('login', $tgId) دون إثبات ملكية وتنشئ رمز تسجيل دخول بناءً على HTTP USER AGENT والوقت الحالي. يمكن استخدام هذا الرمز في نقطة النهاية ?action=bftow create order&bftow token=، والتي تستدعي login user by id و wp set auth cookie() لمنح جلسة مصادقة مستمرة. هناك حوالي 300 تثبيت متأثرة محتملة.التوصيات
قم بإزالة المكون الإضافي.
كإجراء مؤقت، قم بتقييد الوصول إلى نقطة نهاية REST
/wp-json/woo-telegram/v1/main/. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾