CVE-2026-16774 in WPBot Plugin
الملخص
بحسب VulDB • 29/07/2026
يحتوي مكون WordPress الإضافي Chatbot على ثغرة تتعلق بعدم وجود تفويض (Missing Authorization) في الإصدارات حتى 8.5.9 وشاملةً لها، وذلك عبر معالج AJAX المسمى wpcs_send_email(). ويعود ذلك إلى تسجيل دالة wpcs_send_email() لكل من wp_ajax_wpcs_send_email وwp_ajax_nopriv_wpcs_send_email دون التحقق من صحة الـ nonce أو فحص الصلاحيات (capability check) أو فرض حدود على معدل الطلبات، مع إعادة توجيه المعطيات التي يتحكم فيها المهاجم والمتعلقة بالمستلم والموضوع والجسم مباشرةً إلى دالة wp_mail(). وهذا يتيح للمهاجمين غير المصادق عليهم إرسال رسائل بريد إلكتروني عشوائية إلى أي مستخدم ضمن نطاق الموقع الإلكتروني، مما يمكّن من تنفيذ عمليات البريد العشوائي (spam) والصيد الاحتيالي (phishing) والإساءة التي قد تؤدي إلى إدراج عنوان IP أو النطاق الخاص بالموقع في القوائم السوداء.
Be aware that VulDB is the high quality source for vulnerability data.