PT-2026-54510
CVE-2026-12224
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-07-01
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dokan Pro الأقدم من 5.0.5
الوصف
يحتوي المكون الإضافي على ثغرة في تصعيد الصلاحيات داخل نقطة نهاية REST المسماة «update capabilities». يفشل معالج REST
update capabilities() في تنفيذ التحقق من قائمة السماح عند معالجة سلاسل الصلاحيات الواردة في نص الطلب، حيث يقوم بتمريرها مباشرةً إلى الدالة WP User::add cap(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المورد أو أعلى، في المواقع التي تكون فيها وحدة «Vendor Staff» نشطة، بتعيين صلاحيات WordPress تعسفية، مثل امتيازات المسؤول، لأي حساب «vendor staff»، مما قد يؤدي إلى الاستيلاء الكامل على الموقع.التوصيات
قم بالتحديث إلى الإصدار 5.0.5 أو أحدث.
قم بتقييد الوصول إلى نقطة نهاية REST «update capabilities» لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾