CVE-2026-109191 in Image Hub Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي إضافة Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy لـ WordPress على ثغرة تعرض معلومات حساسة في جميع الإصدارات حتى 1.2.0 وشاملاً لها، عبر المعلمة 'image_hub_api_keys_* (6 options)'. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك وما فوقه، من استخراج بيانات اعتماد واجهة برمجة التطبيقات (API) بصيغة نصية واضحة لست خدمات تابعة لجهات خارجية — وهي Giphy وOpenverse (معرف العميل والسري)، وPexels وPixabay وUnsplash — حيث تُدرج حرفياً في HTML كل صفحة إدارة عبر wp_localize_script. كما يحتوي الـ HTML للصفحة المسربة على قيمة غير متوقعة صالحة (nonce) خاصة بـ AJAX باسم image_hub_nonce، وهو ما — بالاقتران مع غياب أي فحص للصلاحيات في معالج AJAX الخاص بتحديث الإعدادات image_hub_update_settings — يسمح للمهاجم بنفس مستوى الوصول كمستخدم مشترك بأن يكتب فوق جميع خيارات بيانات اعتماد واجهة برمجة التطبيقات المخزنة الستة عبر update_option().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.