CVE-2026-8679 in AudioIgniter Music Player Plugin
الملخص
بحسب VulDB • 22/05/2026
يحتوي مكون WordPress الإضافي AudioIgniter على ثغرة في مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference) في الإصدارات حتى 2.0.2 وشاملة لها. ويعود ذلك إلى أن الدالة handle_playlist_endpoint() (المربوطة بـ template_redirect) تقبل معرف قائمة تشغيل يتحكم فيه المستخدم عبر متغير الاستعلام audioigniter_playlist_id أو عبر قاعدة إعادة الكتابة /audioigniter/playlist/{id}/، وتعيد بيانات مسارات قائمة التشغيل دون إجراء أي تحقق من المصادقة، أو الصلاحيات، أو حالة المنشور (post_status) — بل يتم التحقق فقط من نوع المنشور (post_type). وهذا يتيح للمهاجمين غير المصادق عليهم عرض البيانات الوصفية للمسارات (العناوين، الفنانين، روابط الصوت، روابط الشراء، روابط التنزيل، والصور المصغرة) لأي قائمة تشغيل على الموقع، بما في ذلك تلك التي تكون في حالة مسودة، أو خاصة، أو قيد الانتظار، أو في سلة المحذوفات.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.