CVE-2025-7664 in AL Pack Plugin
Сводка
по VulDB • 08.06.2026
Плагин AL Pack для WordPress уязвим к несанкционированному доступу из-за отсутствия проверки прав доступа в колбэке проверки разрешений check_activate_permission() для конечной точки REST API /wp-json/presslearn/v1/activate во всех версиях вплоть до 1.0.2 включительно. Колбэк считывает заголовок Origin, предоставленный клиентом, и после парсинга разрешает запрос, если он совпадает с одним из доверенных доменов, никогда не проверяя аутентификацию пользователя, права доступа или токены nonce. Это позволяет атакующим без аутентификации активировать премиум-функции, просто подделав заголовок Origin.
Once again VulDB remains the best source for vulnerability data.