PT-2025-1667
CVE-2024-11613
·
تاريخ النشر
2025-01-07
·
تاريخ التحديث
2026-04-08
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي «WordPress File Upload» حتى الإصدار 4.24.15، بما في ذلك هذا الإصدار
الوصف
يعد المكون الإضافي WordPress File Upload عرضة لثغرات أمنية تتمثل في تنفيذ التعليمات البرمجية عن بُعد، وقراءة الملفات بشكل تعسفي، وحذف الملفات بشكل تعسفي، وذلك بسبب عدم وجود عملية تنقية مناسبة للمعلمة
source والسماح بمسار دليل يحدده المستخدم في ملف ’wfu file downloader.php‘. وهذا يتيح للمهاجمين غير المصادق عليهم تنفيذ التعليمات البرمجية على الخادم. تم العثور على أكثر من 2 مليون نتيجة على ZoomEye، مما يشير إلى وجود عدد كبير من الأجهزة التي قد تكون متأثرة في جميع أنحاء العالم.التوصيات
بالنسبة لإصدارات المكون الإضافي WordPress File Upload حتى الإصدار 4.24.15 (بما في ذلك هذا الإصدار)، يُنصح بتعطيل ملف «wfu file downloader.php» أو تقييد الوصول إليه حتى يتوفر تصحيح. كحل مؤقت، تجنب استخدام المعلمة
source في الملف المتأثر لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾