PT-2025-48795
CVE-2025-13486
·
تاريخ النشر
2025-11-21
·
تاريخ التحديث
2026-08-21
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
Advanced Custom Fields: Extended والإصدارات المتأثرة
Advanced Custom Fields: Extended الإصدارات من 0.9.0.5 حتى 0.9.1.1
الوصف
يحتوي المكون الإضافي Advanced Custom Fields: Extended الخاص بـ WordPress على ثغرة أمنية تسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE). ويرجع ذلك إلى أن الدالة
prepare form() تقبل مدخلات من المستخدم وتمررها عبر call user func array(). وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية عشوائية على الخادم، مما قد يتيح لهم زرع أبواب خلفية أو إنشاء حسابات مستخدمين إدارية جديدة. ويُقدَّر أن حوالي 100,000 موقع WordPress متأثر بهذه الثغرة. يمكن للمهاجمين استغلال هذه الثغرة عن طريق إرسال طلب مصمم خصيصًا إلى الخادم. وتُعد الدالة prepare form() نقطة الدخول لهذه المشكلة.التوصيات
قم بالتحديث إلى الإصدار 0.9.2 أو أحدث من Advanced Custom Fields: Extended.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾