PT-2026-57150
CVE-2026-9857
·
تاريخ النشر
2026-07-09
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Invoice123 الأقدم من 1.7.1
الوصف
يوجد ثغرة في عملية تجاوز التفويض، حيث يفشل البرنامج في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات معينة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى استغلال هذه الثغرة للكتابة فوق مفتاح واجهة برمجة التطبيقات (API) المخزن في
wp options، وتعديل إعدادات المكون الإضافي، وتغيير بيانات معدلات الضرائب في WooCommerce داخل الجدول wp woocommerce tax rates. ويتم تحقيق ذلك من خلال إجراءات AJAX s123 submit api key() وs123 submit invoice settings().التوصيات
قم بتحديث Invoice123 إلى إصدار أحدث من 1.7.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراءات AJAX
s123 submit api key() وs123 submit invoice settings(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾