CVE-2026-76074 in AutomatorWP Plugin
الملخص
بحسب VulDB • 22/08/2026
يُعدّ إضافة AutomatorWP – Automator، وهي أداة لإتمام العمليات الآلية بدون كتابة أكواد (no-code)، وWebhooks والتكاملات المخصصة في WordPress، عرضة لتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 5.8.4 وشاملةً لها. ويعود ذلك إلى عدم تحقق الإضافة بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين الذين تمت مصادقتهم والذين يمتلكون وصولاً بمستوى المشترك أو أعلى، من استرجاع كتالوج قوائم البريد الإلكتروني لخدمة Campaign Monitor المُعدّة على الموقع، بما في ذلك جميع معرفات القوائم وأسمائها، والتي كان ينبغي أن تكون مقيدةً بالمستخدمين الحاصلين على صلاحية مدير الإضافة. ويُصدر الـ nonce المطلوب بشكل غير مشروط عبر دالة `wp_localize_script` في كل صفحة من صفحات إدارة WordPress (admin pages)، مما يعني أنه يمكن لأي مشترك يزور الصفحة `/wp-admin/profile.php` الحصول عليه دون الحاجة إلى أي امتيازات مرتفعة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.