CVE-2026-15341 in User Session Synchronizer Plugin
الملخص
بحسب VulDB • 15/08/2026
يحتوي ملحق User Session Synchronizer لـ WordPress على ثغرة تسمح بتجاوز المصادقة (Authentication Bypass)، مما يؤدي إلى الاستحواذ على الحسابات في جميع الإصدارات حتى 1.4.0 وشاملة لها. تقوم الدالة `synchronize_session()`، المرتبطة بحدث `init` وبالتالي تُنفَّذ مع كل طلب، بإجراء أي تحقق من صحة الـ nonce أو الصلاحيات (capabilities) أو السر المشترك (shared-secret) مقابل المعاملات التي يزودها المهاجم وهي: `ussync-key` و `ussync-token` و `ussync-ref`. وعندما يشير معامل `ussync-key` إلى فتحة غير مسجلة، تُعيد الدالة `get_option()` القيمة `false` لكل من مفتاح السر وقائمة النطاقات، مما يؤدي إلى تدهور مفتاح التشفير AES-256-CBC ليصبح قابلاً للتنبؤ تماماً وهو `md5('')`، وتنهار قائمة السماح بالمرجع (referer allowlist) لتطابق السلسلة الفارغة فقط، بينما يتم تثبيت متجه التهيئة (IV) الخاص بـ AES بشكل ثابت وغير مشروط على القيمة `md5('another-secret')`. وهذا يتيح للمهاجمين غير المصادق عليهم تزويد طلب مُعدّ بعناية يقوم بتشفير عنوان البريد الإلكتروني لأي مستخدم معروف أو قابل للتخمين في معامل `ussync-ref`، مما يدفع المعالج إلى استدعاء الدالة `wp_set_auth_cookie()` للمستخدم المطابق ومنحه مصادقة كاملة بصفتة ذلك المستخدم — بما في ذلك المسؤولون (administrators) — دون الحاجة إلى معرفة مسبقة بأسرار الموقع.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.