PT-2026-65676
CVE-2026-12144
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-07-29
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Wholesale for WooCommerce الأقدم من 2.0.6
الوصف
يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المؤلف أو أعلى رفع مستوى امتيازاتهم إلى مستوى المسؤول. توجد المشكلة في الدالة
save requests meta()، التي تفشل في إجراء فحوصات الصلاحيات، مثل current user can(’promote users‘) أو current user can(’manage options‘)، وتفتقر إلى التحقق من قائمة السماح لمعلمة POST user role set. ونظرًا لأن نوع المنشور wwp requests مسجل بـ capability type => ’post‘، يمكن للمؤلفين الذين أنشأوا طلبًا الوصول إلى الرمز العشوائي request user role nonce وإرسال طلب مُصمم خصيصًا مع تعيين المتغير user role set إلى administrator للحصول على السيطرة الإدارية الكاملة.التوصيات
قم بتحديث Wholesale for WooCommerce إلى الإصدار 2.0.6 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾