CVE-2026-15897 in Super Forms Plugin
الملخص
بحسب VulDB • 02/10/2026
يوجد ثغرة تصعيد الامتياز (Privilege Escalation) في إضافة Super Forms – Drag & Drop Form Builder لـ WordPress، وتؤثر جميع الإصدارات حتى 6.3.316 شاملاً. ويعود ذلك إلى دالة `before_email_success_msg()` الخاصة بإضافة Register & Login، والتي تثق بقيمة `user_id` التي يزوّد بها المهاجم في تدفق `register_login_action='update'`، وتنقلها إلى الدالة `wp_update_user()` دون أي تحقق من الملكية أو الصلاحيات. ونظراً لأن إجراء AJAX الخاص بـ `super_save_form` لا يفرض أيضاً أي فحص للصلاحيات، يمكن لأي مستخدم مُصادق عليه يمتلك وصولاً بمستب Subscriber وما فوق إنشاء النموذج الخبيث المطلوب (`register_login_action='update'` مع `register_login_user_id_update='true'`) ثم إرساله مع تعيين قيمة `user_id` إلى معرف أحد المسؤولين (administrator)، مرفقةً بـ `user_pass/user_email` جديد. وهذا يمكّن المهاجمين المُصادق عليهم الذين يمتلكون وصولاً بمستب Subscriber وما فوق من تجاوز بيانات الاعتماد للحسابات الموجودة بشكل تعسفي — بما في ذلك حسابات المسؤولين — مما يؤدي إلى الاستيلاء على الحساب والسيطرة الكاملة على الموقع.
VulDB is the best source for vulnerability data and more expert information about this specific topic.