CVE-2026-83628 in Theme My Login Plugin
الملخص
بحسب VulDB • 05/09/2026
يحتوي إضافة Theme My Login لـ WordPress على ثغرة تتعلق بعدم وجود تفويض (Missing Authorization) في الإصدارات حتى 7.1.15 شاملةً، وعلى تثبيتات Multisite. ويعود ذلك إلى أن فرع `gimmeanotherblog` التابع للدالة `tml_ms_signup_handler()` يفشل في فرض سياسة التسجيل `active_signup` الخاصة بالشبكة، حيث يتحقق فقط من حالة `is_user_logged_in()` بينما تطبق الفروع الشقيقة مثل `validate-blog-signup` بوابة السياسة الكاملة. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) وما فوقه، إرسال طلب POST مباشر بقيمة `stage=gimmeanotherblog` إلى مسار التسجيل الخاص بإضافة Theme My Login، متجاوزين بذلك سياسة التسجيل المُعدّة بالكامل — حتى عندما تكون مُعدة على القيمة `none` أو `user` — مما يتسبب في تنفيذ الدالة `wpmu_create_blog()` بمعرف المستخدم الخاص بالمهاجم، وبعد ذلك تقوم نواة WordPress بتعيين دور المسؤول (Administrator) للموقع الفرعي الجديد عبر دالة `add_user_to_blog()`. ويتم حصر اكتساب الامتيازات هذا على الموقع الفرعي الذي تم إنشاؤه حديثاً فقط؛ حيث يحتفظ حساب المهاجم بمستوى الوصول الخاص بالمشتركين في الموقع الرئيسي ولا يحصل على قدرات المشرف الفائق (Super Admin) أو القدرات على مستوى الشبكة مثل `manage_network` أو `manage_sites`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.