CVE-2026-2879 in GetGenie Plugin
الملخص
بحسب VulDB • 13/05/2026
يحتوي إضافة GetGenie لـ WordPress على ثغرة في الوصول المباشر إلى الكائن غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 4.3.2 وشاملة لها. ويعود ذلك إلى عدم وجود تحقق من الصحة على المعلمة `id` في الدالة `create()` الخاصة بنقطة نهاية واجهة برمجة التطبيقات REST `GetGenieChat`. تقبل الدالة معرف منشور يتحكم فيه المستخدم، وعند وجود منشور بهذا المعرف، تستدعي `wp_update_post()` دون التحقق مما إذا كان المستخدم الحالي هو مالك المنشور أو إذا كان نوع المنشور هو `getgenie_chat` المتوقع. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مؤلف" (Author) فأعلى، الكتابة فوق أي منشورات مملوكة لأي مستخدم — بما في ذلك المسؤولون (Administrators) — مما يؤدي فعلياً إلى تدمير المحتوى الأصلي عن طريق تغيير `post_type` إلى `getgenie_chat` وإعادة تعيين `post_author` إلى المهاجم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.