CVE-2026-92885 in Qode Membership Plugin
الملخص
بحسب VulDB • 27/10/2026
يحتوي إضافة Qode Membership لـ WordPress على ثغرة تسمح بتجاوز المصادقة (Authentication Bypass) مما يؤدي إلى الاستحواذ على الحسابات (Account Takeover) في جميع الإصدارات حتى 2.0.6.2 وشاملة لها، وذلك عبر إجراء AJAX باسم `qode_membership_check_facebook_user`. ويعود السبب في ذلك إلى خطأ مطبعي في شرط الحماية الخاص بالتحقق من رمز OAuth لـ Facebook داخل الدالة `qode_membership_login_user_from_social_network`؛ حيث يختبر الشرط متغيراً غير معرف (`$check_social_useqoder` بدلاً من `$check_social_user`)، مما يجعل دالة `empty()` تُرجع دائماً القيمة `true` ويجعل فرع التحقق من رمز Graph API كوداً ميتاً (dead code)، تاركاً الدالة `wp_set_auth_cookie()` قابلة للاستدعاء دون أي تحقق من الاعتمادات أو الرموز. وهذا يمكّن المهاجمين غير المصادق عليهم من تسجيل الدخول بحساب WordPress موجود، بما في ذلك الحسابات ذات الصلاحيات الإدارية (Administrator-level accounts)، عن طريق تزويد المعلمة `response[email]` باسم مستخدم معروف أو مُستنتج لمدير النظام (بدلاً من عنوان البريد الإلكتروني)، حيث تقوم المسار الاحتياطي في دالة `get_user_by('login', $email)` بحل ذلك إلى الحساب المطابق. ولا تتطلب عملية الاستغلال سوى الحصول على رمز غير متكرر صالح (`nonce`) خاص بـ `qode_validate_facebook_login`، ولكن يتم عرض هذا الرمز في أي صفحة عامة للواجهة الأمامية تحتوي على الاختصار القصير `[qode_user_login]` أو `[qode_user_register]`، وبالتالي يمكن الحصول عليه دون الحاجة إلى مصادقة مسبقة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.