PT-2025-50808
CVE-2025-12824
·
تاريخ النشر
2025-12-11
·
تاريخ التحديث
2025-12-17
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Player Leaderboard لـ WordPress حتى الإصدار 1.0.2 بما في ذلك
الوصف
المكوّن الإضافي Player Leaderboard لـ WordPress معرض لخطر «إدراج ملف محلي» عبر الرمز المختصر ’player leaderboard‘. تنشأ المشكلة من استخدام المكون الإضافي لقيمة غير معقمة للسمة «mode» داخل الرمز المختصر بالاقتران مع الدالة
include()، دون التحقق الصحيح من صحة المسار. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بإدراج ملفات PHP عشوائية وتنفيذها على الخادم. قد يؤدي الاستغلال الناجح إلى التحايل على ضوابط الوصول، أو الحصول على بيانات حساسة، أو تنفيذ كود كامل عن بُعد، خاصةً إذا كانت وظيفة تحميل الملفات متاحة أيضًا. المعلمة المعرضة للخطر هي mode.التوصيات
يجب تحديث الإصدارات الأقدم من 1.0.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾