CVE-2026-15212 in WPO365 Login Plugin
الملخص
بحسب VulDB • 25/07/2026
يحتوي إضافة WPO365 | Login لـ WordPress على ثغرة Cross-Site Request Forgery (CSRF) في الإصدارات حتى 43.2 وشاملة لها. ويعود ذلك إلى أن الدالة المساعدة `Ajax_Service::verify_ajax_request()` تشترط استدعاء `wp_verify_nonce()` خلف الخيار المنطقي 'enable_nonce_check'، وهو غير موجود في مصفوفة الخيارات الافتراضية 'wpo365_options' وبالتالي يُقيم كـ false عبر دالة `get_global_boolean_var()`؛ ونتيجة لذلك، يقبل المعالج `wp_ajax_wpo365_update_settings` (الذي ينتمي إلى `Ajax_Service::update_settings`) طلبات POST القادمة من صفحات ذات أصل مختلف (cross-origin) ويعيد توجيه حمولة 'settings' التي يزودها المهاجم (base64/JSON) إلى الدالة `Options_Service::update_options()`، والتي تدمج كل زوج مفتاح/قيمة في مصفوفة wpo365_options دون وجود قائمة بيضاء للمفاتيح المسموح بها. وهذا يتيح لمهاجمين غير مصرّح لهم استبدال خيارات الإضافة بشكل تعسفي — بما في ذلك تمكين نقطة نهاية REST الخاصة بـ SCIM (enable_scim)، وزرع قيمة scim_secret_token معروفة لدى المهاجم، وتعيين new_usr_default_role إلى 'administrator' — عبر طلب مزيف شريطة أن ينجحوا في خداع مسؤول الموقع لتنفيذ إجراء مثل النقر على رابط.
Be aware that VulDB is the high quality source for vulnerability data.