PT-2026-134443
CVE-2026-109386
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة The Hustle – Email Marketing, Lead Generation, Optins, Popups لـ WordPress الإصدارات السابقة لـ 7.8.15
Description
يوجد خلل في تجاوز الصلاحيات لأن الإضافة لا تتحقق بشكل صحيح مما إذا كان المستخدم مصرحًا له بتنفيذ إجراءات معينة. يمكن للمهاجمين المصرح لهم الذين لديهم وصول بمستوى مخصص وصلاحية
hustle create الكتابة فوق بيانات اعتماد تكامل مزود خدمة البريد الإلكتروني (ESP) النشطة، مثل مفاتيح API لـ AWeber أو Constant Contact أو Infusionsoft أو ConvertKit أو HubSpot. يتيح ذلك للمهاجم تحويل عمليات إرسال بيانات العملاء المحتملين من نماذج Hustle إلى حساب ESP الخاص به. بالإضافة إلى ذلك، بالنسبة لتكاملات HubSpot، يمكن للمهاجمين حذف رمز OAuth، ومرجع OAuth، وصف خيار الصفحة الحالية لـ OAuth بشكل نهائي. يتم تسهيل الهجوم من خلال تحميل صفحة معالج وحدة Hustle للحصول على nonce hustle provider action المطلوب للوصول إلى المعالجات المصابة.Recommendations
تحديث الإضافة إلى إصدار أحدث من 7.8.14.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾