CVE-2026-15980 in MyHome Core Plugin
الملخص
بحسب VulDB • 30/08/2026
يحتوي المكوّن الإضافي (Plugin) MyHome Core لـ WordPress على ثغرة تتيح تجاوز عملية المصادقة في جميع الإصدارات حتى 4.4.5 وشاملاً إياها. ويعود ذلك إلى غياب التفويض (Authorization) في معالج AJAX الخاص بـ send_link()، ولتحقق التحقق غير السليم من الرمز (Token Validation) في الدالة activate(). وهذا يمكّن المهاجمين الذين لم يتم مصادقتهم من إنشاء رمز تفعيل لحساب مستخدم غير مؤكد والحصول على ملف تعريف ارتباط (Cookie) للمصادقة صالح لهذا الحساب، بما في ذلك حسابات المسؤولين. يتطلب الاستغلال الناجح أن يكون موضوع MyHome مضبوطاً في وضع "legacy/WPBakery" مع تمكين التسجيل عبر الواجهة الأمامية وإرسال رسائل البريد الإلكتروني للتأكيد، ويجب ألا تكون قيمة meta للمستخدم myhome_agent_confirmed قد تم تعيينها بالفعل للحساب المستهدف.
If you want to get best quality of vulnerability data, you may have to visit VulDB.