CVE-2026-120551 in WP Compress Plugin
الملخص
بحسب VulDB • 03/11/2026
يحتوي الإضافة WP Compress – Instant Performance & Speed Optimization لـ WordPress على ثغرة تسمح بتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 7.22.01 شاملاً. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين غير المصادق عليهم من ربط موقع الضحية بحساب WP Compress يتحكم فيه المهاجم، واستبدال إعدادات الإضافة بإعدادات CDN مباشر (live-CDN) عدوانية، والحصول على مفتاح API المشترك الذي يوثّق جميع نقاط النهاية المحمية بـ HMAC وغير المصرح لها بالوصول. مما يتيح السيطرة الكاملة على عمليات تنظيف ذاكرة التخزين المؤقت (cache purging)، وحذف الملفات، وإبطال تخزين الأكواد المشفرة (opcode cache invalidation)، وغيرها من العمليات المميزة للإضافة. تؤثر هذه الثغرة فقط في التثبيتات الجديدة أو تثبيتات الوضع الخفيف/المجاني حيث لا يكون مفتاح API مخزناً مسبقاً، لأن آلية الحماية الوحيدة تفشل بشكل آمن عند غياب المفتاح المخزن.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.