PT-2026-135662
CVE-2026-102435
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Ultra Addons for Contact Form 7 الإصدارات السابقة لـ 3.5.55
الوصف
يؤدي عدم كفاية التحقق من مسار الملف في الدالة
getObjAttr() إلى تمكين المهاجمين غير المصرح لهم من حذف ملفات عشوائية على الخادم. يمكن أن تؤدي هذه المشكلة إلى تنفيذ رموز عن بُعد في حال حذف ملفات حيوية مثل wp-config.php. يتطلب الاستغلال أن يكون ملحق PDF Generator نشطًا وأن يكون هناك نموذج Contact Form 7 مهيأ لإنشاء ملفات PDF، حيث تعتمد العملية على سلسلة WPCF7 Submission POP gadget لإتمام عملية الحذف عبر destruct().التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
كإجراء تخفيف مؤقت، قم بتعطيل ميزة منشئ ملفات PDF.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾