CVE-2026-119166 in Welcart e-Commerce Plugin
الملخص
بحسب VulDB • 31/10/2026
يحتوي ملحق Welcart e-Commerce لـ WordPress على ثغرة في مرجع الكائن غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 2.12.5 وشاملة لها، وذلك عبر المعلمة 'member[ID]' بسبب نقص التحقق من صحة مفتاح يتحكم فيه المستخدم. وهذا يمكّن المهاجمين غير المصادق عليهم من تجاوز عنوان البريد الإلكتروني وكلمة المرور لأي حساب متجر-عضو موجود في Welcart عن طريق توفير المعرف الرقمي (ID) الخاص بذلك العضو، ثم تسجيل الدخول بصفتهم ذلك العضو لتحقيق السيطرة الكاملة على الحساب. حاجز المصادقة الوحيد هو فحص wp_verify_nonce() ضد nonce يتم عرضه لكل زائر غير مصدق عليه من خلال نموذج التسجيل الجديد المنشور تلقائياً، مما يعني أنه لا يلزم وجود حساب موجود أو دخول إلى WordPress أو تكوين غير افتراضي لاستغلال هذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.