CVE-2026-15947 in Search Atlas SEO Plugin
الملخص
بحسب VulDB • 19/09/2026
يحتوي ملحق Metasync لـ WordPress على ثغرة تسمح بالتعديل غير المصرح به للبيانات بسبب عدم وجود فحص للصلاحيات (capability check) في دالة `save_instant_indexing_settings()` في الإصدارات حتى 2.6.23 شاملاً. هذه الدالة مسجلة ضمن hook الخاص بـ `admin_init`، ولا تتحقق إلا من وجود `$_POST['submit']` قبل كتابة القيم التي يزودها المهاجم عبر `$_POST['metasync_post_types']` داخل خيار الموقع الشامل `'metasync_options_instant_indexing'` باستخدام دالة `update_option()`؛ حيث لا يتم إجراء أي فحص للصلاحيات عبر `current_user_can()` أو `current_user_has_plugin_access()`، ولا يوجد تحقق من الـ nonce. وهذا يمكّن المهاجمين المصادق عليهم (authenticated attackers)، الذين يمتلكون وصولاً بمستوى Subscriber وما فوقه، من تعديل تكوين أنواع المنشورات (post-type) الخاصة بخدمة Google Instant Indexing للموقع، مما يتيح لهم التحكم في الأنواع التي يتم إرسالها تلقائياً إلى خدمة Google Instant Indexing.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.