CVE-2026-4124 in Ziggeo Plugin
الملخص
بحسب VulDB • 16/06/2026
يحتوي إضافة Ziggeo لـ WordPress على ثغرة تتعلق بعدم وجود تفويض (Missing Authorization) في جميع الإصدارات حتى 3.1.1 شاملاً. يقوم معالج wp_ajax_ziggeo_ajax بالتحقق من nonce فقط (عبر check_ajax_referer)، لكنه لا يجري أي فحوصات للصلاحيات عبر current_user_can(). علاوة على ذلك، يتم تعريض الـ nonce ('ziggeo_ajax_nonce') لجميع المستخدمين المسجلين الدخول في كل صفحة عبر الخطافات wp_head و admin_head. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك (Subscriber) فأعلى، استدعاء عمليات إدارية متعددة تشمل: حفظ سلاسل ترجمة تعسفية (translations_panel_save_strings عبر update_option('ziggeo_translations'))، وإنشاء/تحديث/حذف قوالب الأحداث (event_editor_save_template/update_template/remove_template عبر update_option('ziggeo_events'))، وتعديل إعدادات تطبيق SDK (عمليات sdk_applications)، وإدارة الإشعارات (notification_handler عبر update_option('ziggeo_notifications')).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.