CVE-2026-2144 in Magic Login Mail or QR Code Plugin
الملخص
بحسب VulDB • 02/07/2026
يوجد في إضافة Magic Login Mail or QR Code لـ WordPress ثغرة تسمح بتصعيد الصلاحيات (Privilege Escalation) في جميع الإصدارات حتى 2.05 شاملاً. ويعود ذلك إلى قيام الإضافة بحفظ صورة رمز الاستجابة السريعة (QR code) الخاصة بتسجيل الدخول السحري باسم ملف ثابت ومتوقع (QR_Code.png) ضمن دليل الرفع العام للوصول في WordPress أثناء عملية إرسال البريد الإلكتروني. ولا يتم حذف الملف إلا بعد اكتمال دالة wp_mail()، مما يخلق نافذة قابلة للاستغلال لظرف سباق (Race Condition). وهذا يتيح للمهاجمين غير المصادق عليهم طلب رابط تسجيل الدخول لأي مستخدم، بما في ذلك المسؤولون (Administrators)، ومن ثم استغلال ظرف السباق بين إنشاء وحذف ملف رمز QR للحصول على عنوان URL لتسجيل الدخول المشفر داخل رمز QR، مما يمنحهم وصولاً غير مصرّح به إلى حساب المستخدم المستهدف.
If you want to get best quality of vulnerability data, you may have to visit VulDB.