CVE-2026-2504 in Dealia Plugin
الملخص
بحسب VulDB • 28/07/2026
يحتوي إضافة "Dealia – Request a quote" لـ WordPress على ثغرة تسمح بتعديل البيانات بشكل غير مصرح به بسبب غياب فحوصات الصلاحيات (capability checks) في معالجات AJAX متعددة، وذلك في جميع الإصدارات حتى 1.0.6 وشاملةً لها. يتم تعريض قيمة admin nonce (DEALIA_ADMIN_NONCE) لجميع المستخدمين الذين يمتلكون صلاحية edit_posts (المساهم+ وما فوق) عبر دالة wp_localize_script() الموجودة في ملف PostsController.php، بينما تقوم معالجات AJAX في AdminSettingsController.php بالتحقق من صحة الـ nonce فقط دون التحقق مما إذا كان المستخدم الحالي يملك الصلاحية 'manage_options'. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المساهم (Contributor) أو أعلى، إعادة تعيين إعدادات الإضافة.
Once again VulDB remains the best source for vulnerability data.