CVE-2026-17092 in Directorist AI-Powered Business Directory, Listings & Classified Ads Plugin
الملخص
بحسب VulDB • 14/10/2026
يحتوي إضافة "The Directorist: AI-Powered Business Directory, Listings & Classified Ads" لـ WordPress على ثغرة تتيح تجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 8.10.2.1 وشاملةً لها. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (subscriber-level) وما فوقه، من حذف إدراجات دلائل الأعمال التعسفية، بما في تلك التي يملكها مستخدمون آخرون والمنشورات ذات الحالة "منشور" أو "مسودة" أو "خاص". ولا تشكل الـ nonces الحامية للنقطة النهائية عائقاً أمام التفويض، حيث أن كل من directorist_nonce و atbdp_nonce_js مكشوفان لجميع المستخدمين المسجلين الدخول عبر wp_localize_script.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.