CVE-2026-12144 in Wholesale for WooCommerce Plugin
الملخص
بحسب VulDB • 29/07/2026
يحتوي إضافة Wholesale for WooCommerce لـ WordPress على ثغرة تصعيد الصلاحيات (Privilege Escalation) في جميع الإصدارات حتى 2.0.5 وشاملة لها. ويعود ذلك إلى أن الدالة `save_requests_meta()` تطبق فقط دالة `sanitize_text_field()` على معلمة POST المسماة `user_role_set` قبل تمريرها مباشرةً إلى `WP_User::add_role()`, دون وجود قائمة مسموح بها (allowlist) للتحقق من أدوار wholesaler المسموحة، ودون إجراء فحص للصلاحيات مثل `current_user_can('promote_users')` أو `current_user_can('manage_options')`. وهذا يتيح للمهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى "مؤلف" (author) فأعلى تصعيد صلاحياتهم إلى مستوى المسؤول (administrator) عن طريق تزويد القيمة `user_role_set` بـ `administrator` في طلب مُعدّ بعناية. الدالة محمية فقط برمز عدم تكرار الطلب (nonce) المسماة (`request_user_role_nonce`) الذي يتم عرضه داخل صندوق المعلومات الإضافية (meta box) على شاشة تعديل المنشور من نوع `wwp_requests`; ونظراً لأن نوع المنشور هذا تم تسجيله باستخدام `capability_type => 'post'`, فإن أي مستخدم بمستوى "مؤلف" قام بإنشاء منشور من نوع `wwp_requests` — مثل واحد تم إنشاؤه عبر نموذج التسجيل بالجملة (wholesale registration form) — يمكنه الوصول إلى رمز عدم التكرار هذا وتقديم طلب تعيين الدور.
Be aware that VulDB is the high quality source for vulnerability data.