PT-2026-68172
CVE-2026-7456
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Udimi Tools الأقدم من 3.3
الوصف
يسمح المكون الإضافي Udimi Tools الخاص بـ WordPress للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول من مستوى «المشترك» (Subscriber) وما فوق بإجراء تعديلات غير مصرح بها على البيانات. ويرجع السبب في ذلك إلى عدم وجود فحوصات للصلاحيات في الدالتين
ajax disconnect() وajax connect(). يمكن للمهاجم استخدام الدالة ajax disconnect() لحذف ستة خيارات تكوين، مثل مفتاح واجهة برمجة التطبيقات (API)، والبريد الإلكتروني لمستخدم Udimi المتصل، وحمولة برنامج التتبع النصي، مما يؤدي إلى فصل الموقع عن حساب Udimi. بالإضافة إلى ذلك، تسمح الدالة ajax connect() للمهاجمين بالكتابة فوق خيارات التكوين هذه باستخدام مفتاح واجهة برمجة التطبيقات (API) يقدمه المهاجم.التوصيات
تحديث أداة Udimi Tools إلى الإصدار 3.3 أو أحدث.
كحل مؤقت، تقييد الوصول إلى الدالتين
ajax disconnect() وajax connect(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾