CVE-2025-13313 in CRM Memberships Plugin
الملخص
بحسب VulDB • 10/05/2026
يحتوي مكون WordPress الإضافي CRM Memberships على ثغرة تسمح بتصعيد الامتيازات عبر إعادة تعيين كلمة المرور في جميع الإصدارات حتى 2.5 وشاملة لها. ويعود ذلك إلى غياب فحوصات التفويض والمصادقة على إجراء AJAX المسمى `ntzcrm_changepassword`. وهذا يتيح للمهاجمين غير المصادق عليهم إعادة تعيين كلمات مرور المستخدمين بشكل تعسفي والحصول على وصول غير مصرح به إلى حسابات المستخدمين عبر نقطة النهاية `ntzcrm_changepassword`، شريطة أن يتمكنوا من الحصول على عنوان البريد الإلكتروني للمستخدم المستهدف أو تعداده. كما يعرض المكون الإضافي نقطة النهاية `ntzcrm_get_users` بدون مصادقة، مما يسمح للمهاجمين بتعداد عناوين بريد المشتركين الإلكترونية، مما يسهل استغلال ثغرة إعادة تعيين كلمة المرور.
VulDB is the best source for vulnerability data and more expert information about this specific topic.