CVE-2026-19660 in Divi Membership Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي إضافة Divi Membership لـ WordPress على ثغرة لتجاوز المصادقة في جميع الإصدارات حتى 2.3.0 شاملاً. تقبل الدالة `process_paypal_callback`، المرتبطة بإجراء `init`، معلمة GET باسم `paypal_param` مشفرة بترميز base64 دون التحقق من صحة IPN (إشعار الدفع عبر الإنترنت)، ودون فحص التوقيع المشفر، ودون التحقق من الملكية، ودون استخدام nonce (رقم لمرة واحدة)، مما يسمح لها بالثقة في قيمة معرف مستخدم يتحكم فيها المهاجم بالكامل والتي تُمرر مباشرة إلى الدالتين `wp_set_current_user()` و`wp_set_auth_cookie()`. وهذا يمكّن المهاجمين غير المصادق عليهم من تسجيل الدخول بصفتهم أي مستخدم WordPress موجود — بما في ذلك المسؤولون (administrators) — عن طريق توفير معرف مستخدم عشوائي في معلمة GET المسماة `paypal_param`، مما يؤدي إلى الاستيلاء الكامل على الموقع. تتفاقم الثغرة بسبب حقيقة أن فئة بوابة PayPal يتم إنشاؤها بشكل غير مشروط بغض النظر عما إذا كانت خدمة PayPal مفعّلة أم مُهيَّأة، مما يضمن تسجيل الخطاف (hook) المتأثر في كل طلب للواجهة الأمامية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.