CVE-2026-1934 in Motors Plugin
الملخص
بحسب VulDB • 12/05/2026
يحتوي مكون WordPress "The Motors – Car Dealership & Classified Listings" على ثغرة تسمح بتجاوز الدفع (Payment Bypass) عبر تحديث غير آمن لبيانات المستخدم الوصفية (user meta) في جميع الإصدارات حتى 1.4.103 شاملاً. ويعود ذلك إلى أن الدالة `stm_save_user_extra_fields()` تقوم بتحديث حقول بيانات المستخدم الحساسة من بيانات POST دون التحقق مما إذا كان للمستخدم الحالي صلاحية تعديل تلك الحقول. ترتبط الدالة بإجراء 'personal_options_update' وتتحقق فقط من صلاحية `current_user_can('edit_user', $user_id)`، وهي صلاحية تتحقق لأي مستخدم يعدل ملفه الشخصي الخاص. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى "Subscriber" أو أعلى، تعيين حالتهم `stm_payment_status` إلى 'completed'، مما يتجاوز التحقق من الدفع عبر PayPal ويمنحهم الوصول إلى ميزات عضوية الوكيل المدفوعة دون إتمام أي معاملة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.