PT-2025-7399
CVE-2024-13869
·
تاريخ النشر
2025-02-21
·
تاريخ التحديث
2025-02-23
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Migration, Backup, Staging – المكون الإضافي WPvivid Backup & Migration لـ WordPress حتى الإصدار 0.9.112 بما في ذلك
الوصف
تتعلق المشكلة بتحميل ملفات عشوائية بسبب عدم وجود عملية التحقق من نوع الملف في الدالة
upload files. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المسؤول» أو أعلى بتحميل ملفات عشوائية على خادم الموقع المتأثر، مما قد يتيح تنفيذ التعليمات البرمجية عن بُعد. يرجى ملاحظة أن الملفات التي تم تحميلها لا يمكن الوصول إليها إلا في مثيلات WordPress التي تعمل على خادم الويب NGINX، حيث إن ملف .htaccess الموجود في مجلد تحميل الملفات المستهدف يمنع الوصول إليها على خوادم Apache.التوصيات
بالنسبة للإصدارات حتى الإصدار 0.9.112 بما في ذلك، يُنصح بتعطيل وظيفة
upload files كحل بديل مؤقت إلى أن يتوفر تصحيح. قم بتقييد الوصول إلى مجلد تحميل الملفات لتقليل مخاطر الاستغلال. تجنب استخدام وظيفة upload files في المكون الإضافي المتأثر حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾