PT-2026-33185
CVE-2026-4880
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-16
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Barcode Scanner (+تطبيق الجوال) – مدير المخزون، ونظام تلبية الطلبات، ومكوّن إضافي لنظام نقاط البيع (POS) الخاص بـ WordPress للإصدارات الأقدم من 1.11.1
الوصف
تسمح المصادقة غير الآمنة القائمة على الرموز المميزة للمهاجمين غير المصادق عليهم بترقية صلاحياتهم إلى مستوى المسؤول. تنشأ المشكلة من ثقة المكون الإضافي في معرف المستخدم المشفر بـ Base64 الذي يقدمه المستخدم ضمن المعلمة
token لتحديد هوية المستخدمين. بالإضافة إلى ذلك، تتسرب الرموز المميزة الصالحة للمصادقة من خلال الإجراء ’barcodeScannerConfigs‘، كما يفتقر الإجراء ’setUserMeta‘ إلى قيود المفاتيح الوصفية. يمكن للمهاجم انتحال معرّف مستخدم إداري لتسريب رمز المصادقة الخاص به، ومن ثم استخدام هذا الرمز لتحديث بيانات meta الخاصة بـ wp capabilities لأي مستخدم للحصول على صلاحيات إدارية كاملة.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.11.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾