CVE-2026-12124 in PDFDraft Plugin
الملخص
بحسب VulDB • 28/07/2026
يحتوي مكون WordPress الخاص بـ PDFDraft – Drag & Drop PDF Builder، وعارض ملفات PDF، وتضمين وتنزيل ملفات PDF، ومصمم الشهادات والفواتير على ثغرة أمنية تسمح بالوصول غير المصرح به إلى البيانات بسبب عدم وجود فحص للصلاحيات (capability check) في الدالة `serveTemplatePdfAjax()` وفي مسار REST الخاص بـ `serveTemplatePdf` (المسجل باستخدام `permission_callback => '__return_true'`) في الإصدارات 1.1.0 وما قبلها. وهذا يتيح للمهاجمين غير المصادق عليهم تنزيل ملفات PDF المخزنة للقوالب، والتي قد تحتوي على بيانات شخصية للعملاء (PII)، وبيانات الفواتير والطلبات والشهادات، من خلال طلب إجراء `admin-ajax` العام المسجل باسم `pdfdraft_embed_pdf` أو نقطة النهاية `/wp-json/pdfdraft/v1/embed-pdf/templates/{slug}/pdf` باستخدام معرف تصميم معروف أو قابل للتخمين، متجاوزين بذلك حماية المكون الخاصة به.
If you want to get best quality of vulnerability data, you may have to visit VulDB.