CVE-2026-3460

المكوّن الإضافي «REST API TO MiniProgram» لـ WordPress حتى الإصدار 5.1.2

يُعتبر المكون الإضافي REST API TO MiniProgram لـ WordPress عرضة لمشكلة ”الإشارة المباشرة غير الآمنة إلى الكائن“ (Insecure Direct Object Reference). تنشأ المشكلة من عدم كفاية التحقق من الصحة داخل استدعاء الرد الخاص بالأذونات (update user wechatshop info permissions check)، الذي يكتفي بتأكيد وجود مستخدم WordPress مطابق للمعلمة openid المُقدمة. ومع ذلك، تستخدم الدالة update user wechatshop info معلمة userid منفصلة، يتحكم فيها المهاجم، لتعديل البيانات الوصفية للمستخدم دون التحقق مما إذا كانت المعلمتان openid وuserid تتعلقان بنفس المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتعديل البيانات الوصفية المتعلقة بالمتجر (storeinfo، storeappid، storename) لمستخدمين عشوائيين من خلال المعلمة userid في واجهة برمجة التطبيقات REST. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات المعرضة للخطر بشكل صريح. المعلمات المعرضة للخطر هي openid وuserid.

يجب تحديث الإصدارات السابقة للإصدار 5.1.2 وحتى هذا الإصدار.