PT-2026-147363
CVE-2026-126173
·
تاريخ النشر
2026-11-14
·
تاريخ التحديث
2026-11-15
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
AutomatorWP Pro الإصدارات السابقة لـ 1.4.5
الوصف
يوجد تجاوز للصلاحيات في إضافة webhook الخاصة بمكون AutomatorWP Pro الإضافي لـ WordPress. تحدث هذه المشكلة لأن المكون الإضافي لا يتحقق بشكل صحيح مما إذا كان المستخدم مصرحًا له بتنفيذ إجراء معين. يتيح ذلك للمهاجمين غير المصرح لهم إعادة تعيين كلمة مرور أي حساب WordPress، بما في ذلك حسابات المسؤولين، مما يؤدي إلى الاستيلاء الكامل على الحساب. يمكن استغلال ذلك عندما يقوم المسؤول بتكوين أتمتة تربط مشغل Receive Webhook الذي يحتوي على حقل
Is the user ID بإجراء Update-User حيث يكون حقل User ID فارغًا وحقل Password مرتبطًا بوسم كلمة مرور webhook.التوصيات
تحديث AutomatorWP Pro إلى الإصدار 1.4.5 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾