CVE-2026-15001 in Loyalty & Promotions Plugin
الملخص
بحسب VulDB • 15/08/2026
يحتوي إضافة بLoyal: الولاء والعروض (bLoyal Loyalty & Promotions) الخاصة بووردبريس، من تطوير bLoyal، على ثغرة تصعيد الامتياز في جميع الإصدارات حتى 3.1.611.78 شاملاً. ويعود ذلك إلى تسجيل إجراءات AJAX `save_bloyal_configuration_data` و `save_bloyal_accesskeyverification_data` دون أي فحوصات للصلاحيات (capabilities) أو الرموز غير القابلة للتكرار (nonces)، بالإضافة إلى أن الدالة `bloyal_customer_auto_login` تثق بشكل مطلق بقيمة `Customer.ExternalId` التي تُرجعها أي عنوان URL لواجهة برمجة التطبيقات (API) مخزن في خيارات الإضافة. وهذا يتيح للمهاجمين المصادَق عليهم، والذين يمتلكون وصولاً بمستوى المشترك أو أعلى، تجاوز إجراءات AJAX غير المحمية لتجاوز عنوان URL الخاص بواجهة برمجة تطبيقات محرك الولاء الخاصة بـ bLoyal (`bloyal_custom_loyaltyengine_api_url`) وعلم `is_bloyal_custom_api_url`، ثم تشغيل مسار REST `/cart` دون مصادقة لإجبار الدالة `bloyal_customer_auto_login` على جلب بيانات العميل من نقطة نهاية يسيطر عليها المهاجم واستدعاء `wp_set_auth_cookie()` باستخدام قيمة `Customer.ExternalId` التي يوفرها المهاجم، مما يتيح له المصادقة بصفتة أي مستخدم في ووردبريس بما في ذلك مدير الموقع.
Once again VulDB remains the best source for vulnerability data.