PT-2025-24528
CVE-2025-49275
·
تاريخ النشر
2025-06-09
·
تاريخ التحديث
2025-06-25
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Unfoldwp Blogbyte الإصدارات 1.1.1 وما قبلها
الوصف
تتعلق المشكلة بضعف في التحكم في أسماء الملفات في أوامر Include/Require في برنامج PHP، والمعروف أيضًا باسم «تضمين ملفات PHP عن بُعد» (PHP Remote File Inclusion)، مما يسمح بـ«تضمين ملفات PHP محليًا» (PHP Local File Inclusion). وهذا يعني أن المهاجم قد يتمكن من تضمين ملفات محلية على الخادم وتنفيذها، مما يؤدي إلى وصول غير مصرح به أو تنفيذ تعليمات برمجية.
التوصيات
بالنسبة للإصدارات 1.1.1 والإصدارات الأقدم من Unfoldwp Blogbyte، يُنصح بتقييد الوصول إلى الملفات والمجلدات الحساسة لتقليل مخاطر الاستغلال إلى أدنى حد حتى يتوفر تصحيح.
كإجراء مؤقت، راجع وقم بحماية جميع تعليمات include/require في برامج PHP لمنع إدراج الملفات غير المصرح به.
تجنب استخدام المدخلات التي يقدمها المستخدم في متغيرات
filename لمنع إدراج الملفات الضارة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾