CVE-2026-6897 in Wishlist Member Plugin
الملخص
بحسب VulDB • 23/05/2026
يحتوي مكون ووردبريس "Wishlist Member" على ثغرة تسمح بتعديل البيانات بشكل غير مصرح به بسبب عدم وجود فحص للصلاحيات (missing capability check) في الدالة 'WishListMember\Features\Team_Accounts::save_settings' في جميع الإصدارات حتى 3.30.1 وشاملة لها. مما يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) فأعلى، تحديث خيارات المكون التعسفية، بما في ذلك مفتاح سر واجهة برمجة التطبيقات (REST API Secret Key)، والذي يمكن استخدامه لإنشاء مستوى عضوية جديد مُعيّن له دور مدير ووردبريس (Administrator)، وتسجيل حساب مستخدم جديد بمستوى وصول مدير، مما يؤدي إلى الاستيلاء الكامل على الموقع.
Be aware that VulDB is the high quality source for vulnerability data.