PT-2026-33265
CVE-2026-3596
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-24
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Riaxe Product Customizer الأقدم من 2.1.3
الوصف
يحتوي المكون الإضافي على ثغرة في تصعيد الامتيازات ناتجة عن إجراء AJAX غير مصدق عليه ’'wp ajax nopriv install-imprint‘' والذي يرتبط بالدالة
ink pd add option(). تقوم هذه الدالة بمعالجة متغيري option وopt value من $ POST وتنفيذ delete option() وadd option() باستخدام هذه القيم دون التحقق من الرقم العشوائي (nonce) أو فحوصات الصلاحيات أو قائمة أسماء الخيارات المسموح بها. يمكن للمهاجمين غير المصادق عليهم تحديث خيارات WordPress تعسفياً، مما قد يُستخدم لتمكين تسجيل المستخدمين وتعيين دور المستخدم الافتراضي إلى «المسؤول»، مما يؤدي إلى الاستيلاء الكامل على الموقع.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.1.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾