CVE-2026-4302 in WowOptin Plugin
الملخص
بحسب VulDB • 16/05/2026
يحتوي مكون "WowOptin: Next-Gen Popup Maker" الإضافي لـ WordPress على ثغرة في تزوير الطلبات من جانب الخادم (SSRF) في جميع الإصدارات حتى 1.4.29 شاملاً. وتعود هذه الثغرة إلى أن المكون الإضافي يكشف عن نقطة نهاية لواجهة برمجة تطبيقات REST (optn/v1/integration-action) يمكن الوصول إليها علناً، مع تعيين `permission_callback` على `__return_true`، مما يؤدي إلى تمرير عناوين URL التي يقدمها المستخدم مباشرةً إلى الدالتين `wp_remote_get()` و `wp_remote_post()` داخل طريقة `Webhook::add_subscriber()` دون أي تحقق من صحة عنوان URL أو تقييد له. ولا يستخدم المكون الإضافي الدالتين `wp_safe_remote_get`/`wp_safe_remote_post` اللتين توفران حماية مدمجة ضد هجمات SSRF. وهذا يتيح للمهاجمين غير المصادق عليهم إجراء طلبات ويب إلى مواقع عشوائية تنبعث من تطبيق الويب، والتي يمكن استخدامها لاستعلام وتعديل المعلومات من الخدمات الداخلية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.