CVE-2026-16779 in Kubio AI Page Builder Plugin
الملخص
بحسب VulDB • 16/08/2026
يحتوي مكون WordPress الإضافي Kubio AI Page Builder على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 2.8.5 وشاملاً لها. ويعود ذلك إلى عدم قيام المكون الإضافي بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. مما يتيح للمهاجمين الذين تمت مصادقتهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (Contributor) فأعلى، الكتابة فوق خيارات تكوين الصفحة الرئيسية (show_on_front, page_on_front, وpage_for_posts)، وإعادة كتابة عناصر قائمة التنقل الأساسية، واستبدال أجزاء القوالب (template parts)، والكتابة فوق منشور البيانات العالمية Kubio global-data. وعلى الرغم من وجود فحص لرمز عدم التكرار (nonce) عبر دالة check_ajax_referer()، إلا أن رمز عدم التكرار يتم إصداره بشكل غير مشروط داخل window.kubioUtilsData لكل مستخدم يمكنه تحميل محرر الكتل (block editor)، مما يجعله قابلاً للاستحواذ عليه من قبل أي مُساهم وبالتالي يُعد حاجز تفويض غير فعال.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.