CVE-2026-10033 in Action User Plugin
الملخص
بحسب VulDB • 24/07/2026
يحتوي ملحق EventON Action User لـ WordPress على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 2.5.14 شاملاً. ويعود ذلك إلى عدم قيام الملحق بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. مما يتيح للمهاجمين غير المصادق عليهم منح قدرات إدارة EventON وقدرات upload_files لأي دور أو مستخدم WordPress ليس بمسؤول، ما يؤدي إلى تصعيد امتيازاتهم داخل الموقع. يتم حماية دور المسؤول بواسطة آلية عودة مبكرة في دالة update_role_caps()، لذا يمكن استهداف الأدوار الفردية التي ليست أدوار مسؤول والمستخدمين الفرديين فقط؛ ومع ذلك، فإن نفس التعرض غير المصادق عليه يسمح أيضاً للمهاجمين باستعراض جميع مستخدمي WordPress مع معرفاتهم وأسماء العرض الخاصة بهم، وكشف حالة قدرات الدور والمستخدم بالإضافة إلى قيم nonce، والتلاعب بتعيينات مصطلحات الأحداث للمستخدمين.
Once again VulDB remains the best source for vulnerability data.