PT-2026-56720
CVE-2026-14245
·
تاريخ النشر
2026-07-08
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
miniOrange OTP Login, Verification and SMS Notifications، الإصدارات الأقدم من 5.5.2
الوصف
توجد ثغرة في عملية المصادقة تسمح بالاستيلاء على حساب المسؤول. تحدث هذه المشكلة لأن الدالة
um reset password process hook() تفشل في إجراء التحقق من جانب الخادم للتأكد من إتمام خطوة التحقق من صحة رمز OTP. وبدلاً من ذلك، تعتمد على قيمة form nonce عامة يتم إرسالها إلى الزوار غير المصادق عليهم عبر كائن JavaScript moumprvar في صفحة إعادة تعيين كلمة المرور في Ultimate Member. يمكن لمهاجم غير مصدق أن يزود معلمة username b خاضعة للتحكم لاستهداف أي مستخدم في WordPress، بغض النظر عن دوره، دون الحاجة إلى جلسة OTP تم التحقق من صحتها. وهذا يسمح للمهاجم بالحصول على رابط إعادة تعيين كلمة المرور في رأس Location 302 والسيطرة الكاملة على الحساب. ويتطلب ذلك أن يكون تكامل نموذج إعادة تعيين كلمة مرور Ultimate Member نشطًا وألا يكون المكون الإضافي مهيئًا لإعادة التعيين عبر الهاتف فقط.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 5.5.1.
كإجراء تخفيفي مؤقت، قم بتعطيل تكامل نموذج إعادة تعيين كلمة المرور في Ultimate Member أو قم بتكوين المكون الإضافي لإعادة التعيين عبر الهاتف فقط.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾