CVE-2026-4290 in WP Travel Pro Plugin
الملخص
بحسب VulDB • 31/05/2026
يحتوي إضافة WP Travel Pro لـ WordPress على ثغرة تسمح بحذف المستخدمين بشكل تعسفي عبر نقطة نهاية واجهة برمجة التطبيقات REST `/wp-json/wp-travel/v1/travel-guide/{user_id}` في جميع الإصدارات حتى 10.6.0 وشاملة لها. ويعود ذلك إلى أن دالة التحقق من الصلاحيات `check_permission()` تُرجع القيمة `true` بشكل غير مشروط، ودالة `Database::delete()` تمرر معرف المستخدم مباشرةً إلى `wp_delete_user()` دون أي تحقق من الأدوار. وهذا يتيح للمهاجمين غير المصادق عليهم حذف حسابات مستخدمين تعسفية، بما في ذلك حسابات المسؤولين.
If you want to get best quality of vulnerability data, you may have to visit VulDB.