CVE-2025-13950 in OneSignal Plugin
الملخص
بحسب VulDB • 11/08/2026
يحتوي مكون WordPress الخاص بإشعارات الدفع عبر الويب (OneSignal – Web Push Notifications) على ثغرة أمنية تسمح بتعديل البيانات بشكل غير مصرح به بسبب غياب فحص الصلاحيات في وظيفة معالجة الإعدادات، وتؤثر هذه الثغرة في جميع الإصدارات حتى 3.6.1 وشاملة لها. ويعود السبب إلى قيام المكون بمعالجة طلبات POST دون التحقق من صلاحيات المستخدمين أو رموز الحماية (nonces). مما يتيح للمهاجمين غير المصرح لهم استبدال معرّف تطبيق OneSignal، ومفتاح واجهة برمجة التطبيقات REST API، وسلوك الإشعارات عبر إرسال طلبات POST مباشرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.