PT-2026-31093
CVE-2026-3477
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-04-13
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي PZ Frontend Manager لـ WordPress حتى الإصدار 1.0.6 بما في ذلك
الوصف
المكوّن الإضافي PZ Frontend Manager لـ WordPress معرض لمشكلة تتعلق بنقص في عملية المصادقة. لا تقوم الدالة
pzfm user request action callback()، التي يمكن الوصول إليها عبر نقطة نهاية AJAX wp ajax pzfm user request action، بإجراء فحوصات كافية للقدرات أو التحقق من الرقم العشوائي (nonce). تتولى هذه الدالة إدارة عمليات تنشيط المستخدمين وإلغاء تنشيطهم وحذفهم. وعلى وجه التحديد، عندما يتم تعيين المعلمة dataType على القيمة ’delete‘، تستدعي الدالة wp delete user() على معرّفات المستخدمين المقدمة دون التحقق من وجود أذونات كافية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحذف أي مستخدمين في WordPress، بما في ذلك المسؤولين، عن طريق إرسال طلب مُصمم خصيصًا إلى نقطة النهاية ’'wp ajax pzfm user request action‘'.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.0.6 بما في ذلك، قم بالتحديث إلى إصدار أحدث يعالج مشكلة التفويض هذه.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾