CVE-2026-109592 in OpenStation Plugin
الملخص
بحسب VulDB • 30/10/2026
يُعدّ إضافة "OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin" لـ ووردبريس عرضة لتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 1.1.16 شاملاً. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك وما فوقه (subscriber-level access and above)، من تعديل صفوف الترتيب الخاصة بأي مستخدم آخر عشوائياً (بما في ذلك الموقع، وترتيب الفرز، والمجلد الأب، والبيانات الوصفية) وقراءة البيانات الوصفية المُسلسلة — بما في ذلك العنوان، والرابط الدائم (permalink)، وحالة المنشور — للكائنات التي تشير إليها الترتيبات اليتيمة. يتطلب الاستغلال وجود ترتيب يتيه واحد على الأقل — وهي حالة تنتج بشكل طبيعي عن عملية السلة المتتالية الخاصة بالإضافة نفسها، والتي تحدد المجلد الأب كـ "مُحذوف" مع الإبقاء على قيمة `parent_id` للترتيبات الفرعية سليمة — ويجب على المهاجم أولاً تمكين OpenStation لنفسه عبر نقطة النهاية AJAX الخاصة بـ save-openstation، وهو ما يتطلب فقط القدرة 'read' التي يمتلكها كل دور افتراضي في ووردبريس. وقد عثر فريق OpenStation على هذه الثغرة بشكل مستقل أيضاً.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.