PT-2025-51377
CVE-2025-13439
·
تاريخ النشر
2025-12-15
·
تاريخ التحديث
2026-01-22
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Fancy Product Designer لـ WordPress، الإصدارات الأقدم من 6.4.9
الوصف
يحتوي البرنامج على ثغرة ناتجة عن عدم التحقق بشكل كافٍ من صحة المدخلات التي يقدمها المستخدم في المعلمة
url الخاصة بعملية AJAX ’fpd custom upload file‘. يتم تمرير هذه المدخلات مباشرةً إلى الدالة getimagesize() دون التعقيم اللازم. على الرغم من أن الاستغلال عبر سلاسل مرشحات PHP مقيد في PHP 8 والإصدارات الأحدث، إلا أنه يمكن استغلال هذا الخلل من خلال حالة التداخل TOCTOU أو يمكن استغلاله مباشرةً في تثبيتات PHP 7.x. وهذا يسمح للمهاجمين غير المصادق عليهم بقراءة ملفات حساسة عشوائية من الخادم، مثل wp-config.php.التوصيات
قم بتحديث المكون الإضافي Fancy Product Designer إلى الإصدار 6.4.9 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾