PT-2026-71963
CVE-2026-12949
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-08-14
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Wishlist Member الأقدم من 3.34.2
الوصف
يؤدي عدم كفاية التحقق من صحة البيانات إلى السماح للمهاجمين غير المصادق عليهم بالاستيلاء على أي حساب WordPress، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول. تحدث المشكلة داخل الدالة
wpm register()، التي تتحقق من صحة ملف تعريف الارتباط الخاص بالتسجيل فقط مقابل معلمة GET reg، لكنها تفشل في التحقق من أن معلمة POST mergewith تشير إلى مسجل مؤقت أو غير مكتمل مرتبط بالمعاملة الحالية. من خلال توفير معرّف مستخدم عشوائي في المعلمة mergewith، يمكن للمهاجم تشغيل الدالة wp update user() لتغيير اسم المستخدم وكلمة المرور والبريد الإلكتروني والاسم للحساب المستهدف بقيم يتحكم فيها المهاجم. علاوة على ذلك، يتم إخفاء إشعارات تغيير كلمة المرور والبريد الإلكتروني. إذا كانت المعلمة POST wpm id تشير إلى مستوى عضوية غير موجود، يتم الحفاظ على الدور الحالي للمستخدم المستهدف، مما يؤدي إلى تصعيد كامل للامتيازات.التوصيات
قم بتحديث Wishlist Member إلى إصدار أحدث من 3.34.1.
كحل مؤقت، قم بتقييد الوصول إلى وظيفة التسجيل التي تستخدم الدالة
wpm register(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾