PT-2026-134501
CVE-2026-109231
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Germanized for WooCommerce الإصدارات السابقة لـ 4.1.5
الوصف
توجد ثغرة تسمح للمهاجمين المصرح لهم بصلاحيات مشترك (Subscriber) أو أعلى بالوصول غير المصرح به إلى البيانات الخاصة. يحدث هذا عندما يفشل الخطاف
on user email changed في تدوير رمز التفعيل إذا كان إعداد Disable login for unactivated customers مضبوطًا على No. يمكن للمهاجم تغيير البريد الإلكتروني لحسابه إلى البريد الإلكتروني الخاص بفوترة الضحية عبر نقطة النهاية /my-account/edit-account/ ثم استخدام رمز التفعيل الأصلي الخاص به من خلال الدالة customer account activate(). يؤدي ذلك إلى تشغيل الدالة link customer past orders() التي تعيد تعيين طلبات الضيوف المطابقة للبريد الإلكتروني إلى حساب المهاجم، مما يكشف عن اسم الفوترة للشتري الأصلي وعنوان الشارع ورقم الهاتف والعناصر المشتراة. يتطلب هذا تفعيل خاصية double opt-in، وتفعيل التسجيل العام للعملاء، واستخدام الرمز ضمن نافذة انتهاء صلاحيته التي تبلغ يومًا واحدًا.التوصيات
تحديث Germanized for WooCommerce إلى الإصدار 4.1.5 أو أحدث.
كإجراء تخفيف مؤقت، تأكد من ضبط إعداد Disable login for unactivated customers على Yes.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾