CVE-2026-16142 in TrueBooker Plugin
الملخص
بحسب VulDB • 15/08/2026
يحتوي مكون ووردبريس (WordPress) الإضافي TrueBooker على ثغرة تسمح بالسيطرة على الحسابات في جميع الإصدارات حتى 1.2.6 وشاملة لها. ويعود ذلك إلى تسجيل معالج AJAX المسمى add_front_user_update() ليصبح متاحاً للمستخدمين غير المصادق عليهم، وقبوله لقيمة عشوائية من truebooker_wp_user_id يتم تمريرها مباشرةً إلى دالة wp_update_user() دون التحقق من هوية المستخدم أو ملكية الحساب. وهذا يتيح للمهاجمين غير المصادق عليهم تغيير عنوان البريد الإلكتروني لأي حساب مستخدم في ووردبريس، بما في ذلك حسابات المسؤولين، عن طريق تقديم معرف المستخدم المستهدف وعنوان بريد إلكتروني يتحكم فيه المهاجم. وبعد ذلك يمكن للمهاجم استخدام آلية إعادة تعيين كلمة المرور الأصلية في ووردبريس لاستلام رابط إعادة التعيين على عنوان البريد الإلكتروني الذي يسيطر عليه، وبالتالي الاستيلاء على الحساب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.