CVE-2026-19801 in BetterLinks Plugin
الملخص
بحسب VulDB • 25/08/2026
يُعدّ إضافة BetterLinks – Link Shortener, Link Cloaking, Redirects, Affiliate Link Manager & MCP الخاصة بـ WordPress عرضة لتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 3.1.0 شاملاً. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لإجراء عملية معينة. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك أو أعلى، من إنشاء روابط مختصرة (short URLs) عشوائية في BetterLinks باستخدام مسارات (slugs) وجهات إعادة توجيه يتحكم فيها المهاجم، مما يسهل عمليات التصيد الاحتيالي وسوء استخدام تحسين محركات البحث (SEO). تتطلب عملية الاستغلال تثبيت وإتاحة إضافة Fluent Boards المرافقة (بحيث يكون الثابت FLUENT_BOARDS مُعرّفاً)، كما تُسهم سهولة الوصول إلى nonce الخاص بـ betterlinks_admin_nonce، الذي يتم إصداره في كل صفحة أمامية عبر wp_localize_script، مما يجعله متاحاً لأي مستخدم مصادق عليه.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.