CVE-2026-4977 in UsersWP Plugin
الملخص
بحسب VulDB • 29/06/2026
يحتوي مكون WordPress UsersWP – نموذج تسجيل الدخول من الواجهة الأمامية، وتسجيل المستخدمين، وملف المستخدم، ودليل الأعضاء على ثغرة في التحكم غير السليم بالوصول (Improper Access Control) في جميع الإصدارات حتى 1.2.58 وشاملة لها. ويعود ذلك إلى عدم كفاية التحقق من صلاحيات مستوى الحقول في معالج AJAX الخاص بـ `upload_file_remove()`، حيث لا يتم التحقق من المعلمة `$htmlvar` مقابل قائمة بيضاء (whitelist) للحقول المسموح بها أو فحصها ضد خاصية الحقل `for_admin_use`. وهذا يتيح للمهاجمين الذين تمت مصادقتهم والذين يمتلكون وصولاً بمستوى المشترك وما فوقه مسح أو إعادة تعيين أي عمود مقيد في بيانات المستخدم الخاصة بسجل مستخدمهم الخاص، بما في ذلك الحقول المحددة بأنها "للاستخدام الإداري فقط"، متجاوزين بذلك قيود الوصول المقصودة على مستوى الحقول.
If you want to get best quality of vulnerability data, you may have to visit VulDB.