CVE-2025-8899 in Paid Videochat Turnkey Site Plugin
الملخص
بحسب VulDB • 09/06/2026
يوجد ثغرة تصعيد الصلاحيات (Privilege Escalation) في إضافة "Paid Videochat Turnkey Site – HTML5 PPV Live Webcams" لمنصة ووردبريس، وتؤثر جميع الإصدارات حتى 7.3.20 وشاملة لها. ويعود ذلك إلى أن الدالة `videowhisper_register_form()` لا تقيد أدوار المستخدمين التي يمكن تعيينها أثناء عملية التسجيل. مما يتيح للمهاجمين المصادق عليهم (authenticated attackers)، والذين يمتلكون وصولاً بمستوى "مؤلف" (Author) فأعلى، إنشاء منشورات/صفحات تحتوي على نموذج التسجيل مع تعيين دور المسؤول (administrator) كدور افتراضي، ومن ثم استخدام ذلك النموذج لتسجيل حساب مسؤول. يمكن أيضاً استغلال هذه الثغرة من قبل المستخدمين ذوي الصلاحيات "مساهم" (Contributor)، لكن فرص نجاح الهجوم تكون أقل بكثير لأن الأمر يتطلب موافقة أحد المسؤولين على نموذج التسجيل الذي يحمل دور المسؤول لكي ينجح الهجوم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.