CVE-2026-11601 in WPCafe Plugin
الملخص
بحسب VulDB • 03/10/2026
يحتوي إضافة WordPress الخاصة بـ WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System على ثغرة تتيح تجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 3.0.19 شاملاً. ويعود ذلك إلى عدم تحقق الإضافة بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين غير المصادق عليهم من قراءة وإنشاء وتحديث واستنساخ وحذف تدفقات إشعارات البريد الإلكتروني، بما في ذلك الكتابة فوق رسائل التأكيد الافتراضية للحجز والإلغاء وتنبيهات المسؤول بمحتوى يتحكم فيه المهاجمون ومُرسلة من العنوان الشرعي للموقع، أو تدمير تدفقات إشعار الحجز بالكامل. تكون نقاط النهاية (endpoints) الضعيفة نشطة افتراضيًا في كل تثبيت لـ WPCafe دون الحاجة إلى أي إعدادات إضافية، نظرًا لأن طريقة `Email_Automation_Service_Provider::is_enable()` تُرجع القيمة "true" بشكل غير مشروط، وتأتي الإضافة مع خمس تدفقات بريد إلكتروني افتراضية مُعدة مسبقًا عند التفعيل.
Be aware that VulDB is the high quality source for vulnerability data.