CVE-2026-14526 in AI Copilot Plugin
الملخص
بحسب VulDB • 08/08/2026
يحتوي مكون WordPress الإضافي "AI Copilot – Content Generator" على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 1.5.6 وشاملاً لها. ويعود ذلك إلى عدم قيام المكون الإضافي بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يتيح للمهاجمين غير المصرح لهم إنشاء حساب مستخدم جديد بصلاحيات مدير النظام (Administrator) والاستيلاء الكامل على الموقع عن طريق حفظ وتنفيذ سير عمل ضار يحتوي على عقدة إجراء `wp_create_user` مع تحديد الدور كـ "مدير" (`role=administrator`). يمكن استغلال هذه الثغرة من قبل مهاجمين غير مصرح لهم في أي موقع يتم فيه عرض الرمز المصغر `[aiwu-form]` أو روبوت الدردشة العام في صفحة الواجهة الأمامية، حيث تُصدر قيمة `waic-nonce` داخل كود JavaScript قابل للوصول للعامة (`WAIC_DATA.waicNonce`) على تلك الصفحات، مما يجعل فحص nonce حاجز تفويض غير فعال.
Be aware that VulDB is the high quality source for vulnerability data.