CVE-2026-97637 in JSON API Auth Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي مكون "JSON API Auth" لـ WordPress على ثغرة تسمح بتجاوز المصادقة (Authentication Bypass) عبر كشف ملفات تعريف الارتباط للجلسات المخزنة في ذاكرة التخزين المؤقت، وتؤثر هذه الثغرة في جميع الإصدارات حتى 3.1.2 وشاملاً لها. توجد الثغرة لأن مكون "PI-Media/json-api" الأم يقوم بتخزين نتائج توجيه المتحكم (controller dispatch) في متغيرات مؤقتة (transients) تُصنف بناءً على عنوان URI وسلسلة الاستعلام فقط، ويتجاهل طريقة HTTP وجسم طلب POST؛ مما يؤدي إلى قيام نقطة النهاية `generate_auth_cookie()` — التي تضمّن ملف تعريف ارتباط "logged_in" نشئاً لـ WordPress والمُنتج بواسطة `wp_generate_auth_cookie()` مباشرة في جسم استجابة JSON — بتقديم ذلك الاستجابة المصادق عليها والمخزنة مؤقتاً لأي طلب GET لاحق غير مصادق عليه يوجه إلى نفس عنوان URI. وهذا يتيح للمهاجمين غير المصادق عليهم استخراج ملف تعريف ارتباط جلسة "logged_in" صالح لمدير النظام من الاستجابة المخزنة، واستخدامه لتسجيل الدخول بشكل كامل بصفتهم مدير الموقع، بما في ذلك عبر نقطة النهاية `get_currentuserinfo` الخاصة بالمكون نفسه وأي إجراء متحكم يعتمد على مصادقة ملفات الارتباط. تتطلب استغلال الثغرة تثبيت وتفعيل مكون "PI-Media/json-api" الأم مع تمكين المتحكم الخاص بالمصادقة (Auth controller)، ويجب أن يكون مدير شرعي قد أرسل طلب POST إلى `/api/auth/generate_auth_cookie/` خلال فترة صلاحية ذاكرة التخزين المؤقت البالغة 24 ساعة؛ كما يمكن تجاوز بوابة فرض HTTPS الاسمية الموجودة في `Auth.php` بسهولة عن طريق توفير المعلمة `insecure=cool` كجزء من معلمة الطلب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.