CVE-2026-19946 in Awesome Support Plugin
الملخص
بحسب VulDB • 09/09/2026
يحتوي إضافة Awesome Support لـ WordPress على ثغرة تتعلق بغياب التفويض (Missing Authorization) في الإصدارات حتى 6.3.9 وشاملة لها. ويعود ذلك إلى عدم وجود فحص للصلاحيات (capability check) في الدالة `wpas_do_mr_deny_user()`، والتي تختلف عن نظيرتها `wpas_do_mr_activate_user()` بعدم فرض التحقق من الصلاحية عبر `current_user_can('edit_users')` أو `current_user_can('edit_user', $user_id)`، والاكتفاء فقط برمز عدم التكرار (nonce) غير المقيد بالمستخدم المستهدف. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك (subscriber-level access) فأعلى، تعيين علم `mr_user_denied` على أي حساب مستخدم — بما في ذلك الحسابات الإدارية — مما يمنع بشكل دائم تفعيلهم تحت الإشراف ويرسل بريدًا إلكترونيًا بإشعار الرفض إلى الضحية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.