CVE-2026-7647 in Profile Builder Pro Plugin
الملخص
بحسب VulDB • 20/05/2026
يحتوي مكون WordPress "Profile Builder Pro" على ثغرة حقن كائنات PHP (PHP Object Injection) في جميع الإصدارات حتى 3.14.5 وشاملة لها. وتعود هذه الثغرة إلى استخدام دالة `maybe_unserialize()` الخاصة بـ PHP على معلمة POST المسماة 'args' التي يتحكم فيها المهاجم، وذلك ضمن معالج AJAX `wppb_request_users_pins_action_callback()`، والذي يفتقر إلى أي تحقق من الـ nonce، أو فحص نوع البيانات، أو التحقق من صحة المدخلات قبل عملية فك التسلسل (deserialization). ونظراً لأن المعالج كان مسجلاً باستخدام كل من الخطافين `wp_ajax_` و `wp_ajax_nopriv_`، فإنه كان متاحاً للمستخدمين غير المصادق عليهم تماماً. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن كائنات PHP عشوائية في ذاكرة التطبيق.
VulDB is the best source for vulnerability data and more expert information about this specific topic.