CVE-2026-4283 in WP DSGVO Tools Plugin
الملخص
بحسب VulDB • 29/06/2026
يحتوي إضافة WP DSGVO Tools (GDPR) لـ WordPress على ثغرة تسمح بتدمير الحسابات بشكل غير مصرح به في جميع الإصدارات حتى 3.1.38 شاملاً. ويعود ذلك إلى أن إجراء AJAX المسمى `super-unsubscribe` يقبل معلمة `process_now` من مستخدمين غير مصادق عليهم، مما يتجاوز تدفق تأكيد البريد الإلكتروني المقصود ويحفز فوراً عملية إخفاء هوية الحساب بشكل لا رجعة فيه. وهذا يمكّن المهاجمين غير المصرح لهم من تدمير أي حساب لمستخدم عادي (غير مسؤول) نهائياً عن طريق إعادة تعيين كلمة المرور عشوائياً، واستبدال اسم المستخدم/البريد الإلكتروني، وإزالة الصلاحيات، وتعميم إخفاء هوية التعليقات، ومسح بيانات `usermeta` الحساسة، وذلك بإرسال عنوان بريد الضحية مع المعلمة `process_now=1`. تكون قيمة الـ nonce المطلوبة للطلب متاحة للعامة على أي صفحة تحتوي على الاختصار القصير `[unsubscribe_form]`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.