CVE-2024-13725

المكوّن الإضافي Keap Official Opt-in Forms لـ WordPress، الإصدارات حتى 2.0.1 ضمناً

المكوّن الإضافي Keap Official Opt-in Forms لـ WordPress معرض لثغرة «تضمين ملف محلي» في جميع الإصدارات حتى 2.0.1 ضمناً عبر المعلمة service. وهذا يتيح للمهاجمين غير المصادق عليهم تضمين ملفات PHP على الخادم، مما يسمح بتنفيذ أي كود PHP في هذه الملفات. ويمكن استغلال هذه الثغرة لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تنفيذ كود في الحالات التي يمكن فيها إرسال ملفات PHP وتضمينها. إذا كانت وظيفة register argc argv ممكّنة على الخادم وكان ملف pearcmd.php مثبتًا، فقد تؤدي هذه المشكلة إلى تنفيذ التعليمات البرمجية عن بُعد.

بالنسبة للإصدارات حتى الإصدار 2.0.1 ضمناً، قم بالتحديث إلى إصدار أعلى من 2.0.1 لحل المشكلة.

كحل مؤقت، ضع في اعتبارك تعطيل المعلمة service حتى يتوفر تصحيح.

قم بتقييد الوصول إلى ملف pearcmd.php لتقليل مخاطر الاستغلال في حالة تمكين register argc argv على الخادم.