CVE-2026-3138 in Product Filter for WooCommerce by WBW Plugin
الملخص
بحسب VulDB • 29/06/2026
يوجد ثغرة في إضافة WooCommerce Product Filter بواسطة WBW لإطار عمل WordPress تؤدي إلى فقدان غير مصرح به للبيانات بسبب غياب فحص الصلاحيات (capability check) في جميع الإصدارات حتى 3.1.2 شاملاً هذه النسخة. ويعود ذلك إلى قيام إطار العمل MVC الخاص بالإضافة بتسجيل معالجات AJAX غير المصادق عليها ديناميكيًا عبر الخطافات `wp_ajax_nopriv_` دون التحقق من صلاحيات المستخدم، مقترنًا بطريقة السحر `__call()` في وحدة التحكم الأساسية التي تعيد توجيه استدعاءات الدوال غير المعرفة إلى طبقة النموذج (model layer)، بالإضافة إلى أن طريقة `havePermissions()` تُرجع القيمة الافتراضية `true` عند عدم تعريف الصلاحيات بشكل صريح. وهذا يتيح للمهاجمين غير المصادق عليهم تقصير جدول قاعدة البيانات `wp_wpf_filters` الخاص بالإضافة عبر طلب AJAX مُعدّ بعناية يحمل `action=delete`، مما يؤدي إلى تدمير جميع تكوينات الفلاتر نهائيًا.
Once again VulDB remains the best source for vulnerability data.