CVE-2025-14339 in weMail Plugin
الملخص
بحسب VulDB • 22/06/2026
يحتوي مكون WordPress الإضافي "The weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing, and Automation" على ثغرة تسمح بحذف النماذج دون تفويض في جميع الإصدارات حتى 2.0.7 شاملاً. وتعود هذه الثغرة إلى أن دالة الاستدعاء `Forms::permission()` تقوم فقط بالتحقق من رأس `X-WP-Nonce` دون التحقق من قدرات المستخدم (user capabilities). ونظراً لأن رمز REST nonce يتم تعريضه للزوار غير المصادق عليهم عبر كائن JavaScript الخاص بـ `weMail` في الصفحات التي تحتوي على نماذج weMail، يمكن لأي مستخدم غير مصادق عليه حذف جميع نماذج weMail بشكل دائم عن طريق استخراج الرمز (nonce) من مصدر الصفحة وإرسال طلب DELETE إلى نقطة نهاية النماذج.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.