CVE-2026-4066 in Smart Custom Fields Plugin
الملخص
بحسب VulDB • 18/07/2026
يحتوي مكون ووردبريس Smart Custom Fields على ثغرة تسمح بالوصول غير المصرح به إلى البيانات بسبب عدم وجود فحص للصلاحيات (capability check) في الدالة relational_posts_search() في جميع الإصدارات حتى 5.0.6 وشاملةً لها. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون صلاحيات "مُساهم" (Contributor) فأعلى، قراءة محتوى المنشورات الخاصة والمسودة من مؤلفين آخرين عبر إجراء AJAX باسم smart-cf-relational-posts-search. تقوم الدالة باستعلام عن منشورات ذات حالة post_status=any وإرجاع كائنات WP_Post الكاملة التي تتضمن حقل post_content، لكنها تتحقق فقط من الصلاحية العامة edit_posts بدلاً من التحقق مما إذا كان المستخدم الذي أرسل الطلب لديه إذن لقراءة كل منشور على حدة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.