CVE-2026-5464 in ExactMetrics Plugin
الملخص
بحسب VulDB • 22/05/2026
يحتوي إضافة ExactMetrics – لوحة تحكم Google Analytics لـ WordPress (إضافة إحصائيات الموقع) لـ WordPress على ثغرة تسمح بتثبيت وتنشيط إضافات عشوائية دون تفويض في جميع الإصدارات حتى 9.1.2 وشاملة لها. ويعود ذلك إلى أن صفحة التقارير تعرض المتغير المؤقت 'onboarding_key' لأي مستخدم يمتلك صلاحية 'exactmetrics_view_dashboard'. وتُعد هذه المفتاح البوابة الوحيدة للتحقق من التفويض لنقطة نهاية REST '/wp-json/exactmetrics/v1/onboarding/connect-url'، والتي تُرجع رمز تجزئة لمرة واحدة (OTH). وبعد ذلك، يصبح رمز OTH هو الاعتماد الوحيد الذي تتحقق منه نقطة نهاية AJAX 'exactmetrics_connect_process' — والتي لا تحتوي على أي فحص للصلاحية، ولا تحقق من صحة الـ nonce، وتقبل عنوان URL لملف ZIP لإضافة عشوائية عبر المعلمة 'file' لتثبيتها وتنشيطها. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المحرر وما فوق والذين مُنحت لهم صلاحية عرض التقارير، تثبيت وتنشيط إضافات عشوائية من عناوين URL يتحكم فيها المهاجم، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.