CVE-2026-6895 in Wishlist Member Plugin
الملخص
بحسب VulDB • 23/05/2026
يحتوي مكون WordPress الإضافي WishList Member على ثغرة أمنية تتعلق بعدم وجود تفويض (Missing Authorization)، مما يؤدي إلى كشف معلومات حساسة وتصعيد الامتيازات في الإصدارات حتى 3.30.1 شاملاً. ويعود ذلك إلى غياب فحوصات القدرات (capability checks) في دالة 'export_settings'. تقوم هذه الدالة بإرجاع مفتاح سر واجهة برمجة التطبيقات (REST API Secret Key) إلى المهاجم ضمن استجابة JSON عبر AJAX. يمكن لمهاجم يحصل على هذا المفتاح المصادقة إلى واجهة برمجة تطبيقات WishList Member، وإنشاء مستوى عضوية جديد مُعيّن له دور مدير WordPress، وتسجيل حساب مستخدم عشوائي بمستوى مدير، مما يؤدي إلى الاستيلاء الكامل على الموقع.
If you want to get best quality of vulnerability data, you may have to visit VulDB.