CVE-2026-104799

اسم البرنامج المصاب والإصدارات المتأثرة إضافة Mobile builder لـ WordPress الإصدارات السابقة لـ 1.4.3

الوصف توجد ثغرة تسمح للمستخدمين المصرح لهم بصلاحيات "مشترك" (Subscriber) أو أعلى بتصعيد صلاحياتهم إلى مستوى "مدير" (Administrator). يحدث هذا عبر معالج REST wcfmmp profile settings() في نقطة النهاية POST /mobile-builder/v1/wcfm-profile-settings. ينتج هذا الخلل عن خطأ في منطق المقارنة المرنة في لغة PHP ضمن فحص القائمة المسموح بها لمفاتيح البيانات الوصفية (meta key)، حيث تعيد الدالة strpos() القيمة false عند عدم العثور على السلسلة النصية، وهو ما يفسره PHP على أنه مساوٍ لـ 0. وبالاقتران مع دالة permission callback المسماة user permissions check() التي تتحقق فقط من وجود المستخدم، يمكن للمهاجم تمرير مصفوفة data غير مصفاة عبر المعاملين key و data. يتيح ذلك لدالة update user meta() الكتابة فوق بيانات وصفية عشوائية للمستخدم، بما في ذلك مفتاح wp capabilities لمنح أنفسهم صلاحيات المسؤول.

التوصيات تحديث الإضافة إلى إصدار أحدث من 1.4.2. تقييد الوصول إلى نقطة النهاية POST /mobile-builder/v1/wcfm-profile-settings لمنع تحديثات البيانات الوصفية غير المصرح بها.