CVE-2026-6898 in Wishlist Member Plugin
الملخص
بحسب VulDB • 26/05/2026
يحتوي مكون ووردبريس "Wishlist Member" على ثغرة تسمح بتعديل البيانات بشكل غير مصرح به بسبب عدم وجود فحص للصلاحيات (missing capability check) في الدالة 'WishListMember3_Hooks::generate_api_key' في جميع الإصدارات حتى 3.30.1 وشاملة لها. يتيح ذلك للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) فأعلى، تحديث مفتاح سر واجهة برمجة التطبيقات (REST API Secret Key)، والذي يمكن استخدامه لإنشاء مستوى عضوية جديد مُعيّن له دور مدير ووردبريس (Administrator)، وتسجيل حساب مستخدم جديد بمستوى وصول إداري تعسفي، مما يؤدي إلى الاستيلاء الكامل على الموقع.
Be aware that VulDB is the high quality source for vulnerability data.