CVE-2026-82814

اسم البرنامج المصاب والإصدارات المتأثرة Duplicator الإصدارات السابقة لـ 5.0.0 Duplicator Pro الإصدارات السابقة لـ 5.0.0

Description يوجد ثغرة حقن كائنات PHP (PHP Object Injection) غير مصرح بها ناتجة عن إلغاء تسلسل محتوى قاعدة بيانات غير موثوق به داخل الدالة unserializeTest() في الفئة DUPX UpdateEngine أثناء عملية الهجرة. يمكن للمهاجمين تخزين كائن متسلسل في محتوى الموقع العام، والذي يتم معالجته لاحقاً عندما يقوم المسؤول بإنشاء حزمة وتنفيذ عملية هجرة أو استيراد تتضمن البحث والاستبدال في قاعدة البيانات. في النسخة المجانية، تسمح سلسلة POP الخاصة بـ Requests 1.7 بتنفيذ أوامر نظام التشغيل مباشرة عبر استدعاءات يحددها المهاجم. أما في نسخة Pro، فيسمح gadget المدمر IndexList بحذف ملف محدد إذا كان الدليل قابلاً للكتابة بواسطة عملية PHP الخاصة بالمثبت؛ على سبيل المثال، حذف ملف wp-config.php قد يؤدي إلى تفعيل معالج الإعداد، مما قد يؤدي إلى السيطرة على الموقع وتنفيذ التعليمات البرمجية إذا قام المهاجم بتوفير قاعدة بيانات يتحكم بها.

Recommendations تحديث Duplicator إلى الإصدار 5.0.0. تحديث Duplicator Pro إلى الإصدار 5.0.0.