CVE-2026-10580

تطبيق Hippoo Mobile App لـ WooCommerce، الإصدارات الأقدم من 1.9.5

توجد ثغرة في عملية المصادقة تسمح بالاستيلاء على حساب المسؤول. تنشأ المشكلة عن خطأ منطقي في الدالة get user permissions() داخل HippooPermissions، والتي تُرجع قيمة حارس (sentinel) فارغة متطابقة لكل من المسؤولين والزوار غير المصادق عليهم. تفسر الدالة has role access() هذه القيمة على أنها وصول كامل للمسؤول، مما يؤدي إلى قيام الدالة override extension permission callback() بتعيين return true كاستدعاء رد الإذن لجميع مسارات REST الخاصة بـ WordPress و WooCommerce التي تم استنساخها تحت نقطة النهاية ’/wc-hippoo/v1/ext/‘ بواسطة الدالة re register external routes(). بالإضافة إلى ذلك، يفشل حارس ما قبل الإرسال block unauthorized access() في حظر المستخدمين غير المصادق عليهم بسبب نفس الخطأ المنطقي. وهذا يسمح للمهاجمين غير المصادق عليهم باستدعاء نقاط نهاية REST الأساسية دون بيانات اعتماد، وتحديدًا عن طريق إرسال طلب POST إلى ’/wc-hippoo/v1/ext/wp/v2/users/‘ مع متغير password في نص الطلب لإعادة تعيين كلمة مرور أي مستخدم، بما في ذلك مسؤول الموقع.

التحديث إلى إصدار أحدث من 1.9.4.