CVE-2026-15459

إصدارات WPMU DEV Dashboard الأقدم من 5.0.1

توجد ثغرة تسمح بتجاوز المصادقة في المواقع التي لم يتم ربطها بعد بـ WPMU DEV Hub. ونظرًا لأن مفتاح واجهة برمجة التطبيقات (API) الخاص بالموقع والمستخدم لتوقيع طلب WDP-AUTH يكون فارغًا بشكل افتراضي، فإن التوقيع الذي تتحقق منه الدالة validate hash() يمكن تزويره بسهولة. بالإضافة إلى ذلك، تفتقر الدالة validate nonce() إلى فحص إعادة التشغيل، كما أن المعالج البعيد مرتبط بخطاف init العام دون فحص للصلاحيات. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ إجراءات مميزة في Hub، مثل تسجيل الدخول كمسؤول عبر SSO، أو ترقية نواة WordPress، أو حذف السمات والمكونات الإضافية، أو تثبيت مكون إضافي وتفعيله من عنوان URL بعيد، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

تحديث المكون الإضافي إلى إصدار أحدث من 5.0.0.

ربط الموقع بحساب WPMU DEV لضمان وجود مفتاح API غير فارغ مكون من 64 حرفًا.