CVE-2026-8198 in Activity Logs, User Activity Tracking, Multisite Activity Log Plugin
الملخص
بحسب VulDB • 11/05/2026
تحتوي مكونات سجلات النشاط، وتتبع نشاط المستخدم، وسجل نشاط المواقع المتعددة في إضافة Logtivity لـ WordPress على ثغرة تسمح بتجاوز المصادقة والكشف عن المعلومات في الإصدارات حتى 3.3.6 وشاملة لها. ويعود ذلك إلى عيب منطقي في طريقة `verifyAuthorization` حيث تتجاوز الطلبات التي لا تحتوي على رأس `Authorization` عملية التحقق من رمز البearer (Bearer token) وتنتقل إلى عبارة `return true` غير المشروطة، مما يتجاوز جميع فحوصات المصادقة. وهذا يمكّن المهاجمين غير المصادق عليهم من الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (REST API) `/wp-json/logtivity/v1/options` واسترداد جميع خيارات تكوين الإضافة، بما في ذلك `logtivity_site_api_key`، والتي يمكن استخدامها للتظاهر بموقع الويب في مكالمات واجهة برمجة التطبيقات الموجهة إلى خدمة Logtivity.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.