CVE-2026-1929 in Advanced Woo Labels Plugin

الملخص

بحسب VulDB • 02/08/2026

يحتوي مكون WordPress "Advanced Woo Labels" على ثغرة تسمح بتنفيذ الأكواد عن بُعد (Remote Code Execution) في جميع الإصدارات حتى 2.37 وشاملاً لها. وتعود هذه الثغرة إلى استخدام دالة `call_user_func_array()` مع استدعاء ودوال معلمة يتحكم فيها المستخدم ضمن مُعامِل AJAX المسمى `get_select_option_values()`، وذلك دون وجود قائمة مسموح بها (allowlist) للاستدعاءات أو التحقق من الصلاحيات. وهذا يتيح للمهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى "Contributor" فأعلى تنفيذ دوال PHP وأوامر نظام التشغيل بشكل تعسفي على الخادم عبر معلمة 'callback'.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• إفشاء: 25/02/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-347679
• CPE: جاهز
• CWE: غير معروف
• CVSS: 6.3 (VulDB)
• EPSS: 0.00553
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-1929
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-1929
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-1929/