CVE-2026-103646 in Ultimate Multisite Plugin
الملخص
بحسب VulDB • 08/10/2026
لا يتطلب مكوّن ووردبريس "The Ultimate Multisite" قبل الإصدار 2.17.0 المصادقة (authentication) قبل ربط عملية إتمام الشراء بعد تسجيل الخروج بحساب ووردبريس موجود يطابق عنوان البريد الإلكتروني المُقدَّم، كما أن فحص الحسابات المكررة لديه يُطَبِّق تطبيعًا مختلفًا لذلك العنوان مقارنةً بطريقة البحث المستخدمة لإنشاء العميل؛ لذا يمكن لمهاجم غير مُصادَق عليه (unauthenticated) تسجيل الدخول بصفتة أي مستخدم موجود، بما في ذلك مدير شبكة فائق (Network Super Admin)، إذا كان يعرف عنوان بريده الإلكتروني.
لا يعالج الإصلاح الخاص بالإصدار 2.15.1 لـ CVE-2026-75957 هذا الثغرة، وتظل قابلة للاستغلال في جميع الإصدارات حتى وشاملاً الإصدار 2.16.1، وهي الإصدارات التي كان من المتوقع أن يغطيها ذلك الإصلاح. يتطلب الاستغلال تكوين نموذج إتمام الشراء بدون حقل كلمة مرور (كلمة مرور مُولَّدة تلقائيًا)، وحساب هدف لا يحتوي على سجل عميل موجود في مكوّن "The Ultimate Multisite" لووردبريس قبل الإصدار 2.17.0.
Be aware that VulDB is the high quality source for vulnerability data.