PT-2026-147420
CVE-2026-18053
·
تاريخ النشر
2026-11-14
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
MemberDash الإصدارات السابقة لـ 1.8.8
Description
توجد مشكلة في فرع edit profile الخاص بالدالة
user account manager(). تحدث ثغرة تعيين جماعي (mass-assignment) عندما يتم تكرار حقول $ POST المرسلة وتعيينها لكائن العضو الحالي عبر الطريقة السحرية set() في MS Model دون وجود قائمة مسموح بها للحقول ودون التحقق من الصلاحيات أو الملكية للمعلمة id. يمكن للمهاجمين المصرح لهم، الذين لديهم وصول بمستوى مشترك أو أعلى، حقن معرف مستخدم تعسفي عبر المعلمة id لتغيير عنوان البريد الإلكتروني وكلمة المرور لأي مستخدم في WordPress، بما في ذلك مدير الموقع، مما يؤدي إلى الحصول على وصول إداري كامل.Recommendations
تحديث MemberDash إلى الإصدار 1.8.8 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾