CVE-2026-15025

إصدارات Uncanny Automator الأقدم من 7.3.3

يحتوي المكون الإضافي Uncanny Automator لـ WordPress على ثغرة في عملية المصادقة. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى استغلال هذه الثغرة عن طريق إرسال طلبات إلى إجراءات AJAX التالية: automator google contacts fetch labels، وautomator mautic segment fetch، وautomator mautic tags fetch، وautomator mautic render contact fields. تنبع المشكلة من عدم وجود فحوصات للصلاحيات وغياب التحقق من الرمز العشوائي (nonce) (وهو رمز أمان يُستخدم لمنع تزوير الطلبات عبر المواقع) في معالجات ajax fetch labels() وsegments fetch() وtags fetch() وrender contact fields(). وهذا يسمح للمهاجمين بتحديد مجموعات وتصنيفات جوجل كونتاكتس الحساسة، بالإضافة إلى شرائح Mautic والعلامات وتعريفات حقول جهات الاتصال، باستخدام بيانات الاعتماد التي تم تكوينها من قبل المسؤول. بالإضافة إلى ذلك، قد يؤدي هذا إلى استهلاك حصص واجهة برمجة التطبيقات (API) الخاصة بأطراف ثالثة.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 7.3.2.