PT-2026-33264
CVE-2026-3595
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-24
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Riaxe Product Customizer الأقدم من 2.1.3
الوصف
يوجد ثغرة في تجاوز إجراءات التفويض بسبب تسجيل مسار واجهة برمجة تطبيقات REST ’‘/wp-json/InkXEProductDesignerLite/customer/delete customer'' دون وجود إجراء استدعاء مرتد للتصريح. يسمح هذا التكوين بالوصول غير المصادق عليه إلى الدالة
inkxe delete customer()، التي تعالج مصفوفة من معرّفات المستخدمين الواردة في نص الطلب وتمررها إلى الدالة wp delete user() دون إجراء أي فحوصات للمصادقة أو التفويض. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم حذف حسابات مستخدمي WordPress بشكل عشوائي، بما في ذلك حسابات المسؤولين، مما يؤدي إلى إغلاق الموقع بالكامل وفقدان البيانات.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.1.2.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’‘/wp-json/InkXEProductDesignerLite/customer/delete customer''.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾