یک آسیب‌پذیری امنیتی با شدت High در افزونه CMP – Coming Soon & Maintenance Plugin توسعه یافته توسط NiteoThemes شناسایی شده است که تمامی نسخه‌ها تا ورژن 4.1.17 را تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی (CVE-2026-12470) ناشی از فقدان بررسی قابلیت‌ها (Capability Check) در اکشن AJAX با نام cmp_ajax_import_settings است. در نتیجه، مهاجمان احراز هویت شده که دارای دسترسی سطح Editor یا بالاتر باشند، می‌توانند داده‌ها را به‌صورت غیرمجاز تغییر دهند.
تاثیرات امنیتی و سناریوی حمله
به دلیل این نقص، مهاجم قادر است گزینه‌های دلخواه (Arbitrary Options) را در سایت وردپرس به‌روزرسانی کند. این قابلیت می‌تواند برای تغییر نقش پیش‌فرض ثبت‌نام (Default Registration Role) مورد استفاده قرار گیرد تا در نهایت منجر به Privilege Escalation یا ارتقای سطح دسترسی به مدیر کل (Administrator) شود.
- نوع آسیب‌پذیری: Unauthorized Modification of Data
- تاثیر: Privilege Escalation
- پیش‌نیاز: دسترسی سطح Editor یا بالاتر
