PT-2025-13444
CVE-2025-2485
·
تاريخ النشر
2025-03-27
·
تاريخ التحديث
2025-09-30
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Drag and Drop Multiple File Upload for Contact Form 7» الخاص بـ WordPress، للإصدارات حتى الإصدار 1.3.8.7، بما في ذلك هذا الإصدار
الوصف
تسمح هذه الثغرة بحقن كائن PHP عبر إزالة التسلسل من المدخلات غير الموثوق بها من الدالة
dnd upload cf7 upload، مما يتيح للمهاجمين حقن كائن PHP عبر ملف PHAR. لا تؤثر هذه الثغرة ما لم يتم تثبيت مكون إضافي أو سمة أخرى تحتوي على سلسلة POP على الموقع. في حالة وجود سلسلة POP، فقد تسمح للمهاجم بتنفيذ إجراءات مثل حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية. يمكن استغلال هذه الثغرة الأمنية من قبل مهاجمين غير معتمدين عند وجود نموذج على الموقع يتضمن إجراء تحميل الملفات، ويجب أن يكون المكون الإضافي Flamingo مثبتًا ومفعَّلًا.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.3.8.7 بما في ذلك، يُنصح بتعطيل الدالة
dnd upload cf7 upload حتى يتوفر تصحيح لمنع حقن كائنات PHP.قم بتقييد الوصول إلى إجراء تحميل الملفات في النماذج لتقليل مخاطر الاستغلال.
تأكد من عدم تثبيت المكون الإضافي Flamingo أو تعطيله لتقليل التأثير المحتمل لهذه المشكلة.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾