PT-2026-136008
CVE-2026-120544
·
تاريخ النشر
2026-10-02
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة The Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning لـ WordPress الإصدارات السابقة لـ 4.0.2
الوصف
توجد ثغرة من نوع Directory Traversal تتيح للمهاجمين المصرح لهم الذين لديهم صلاحيات وصول بمستوى مساهم (contributor) أو أعلى قراءة ملفات .html عشوائية على الخادم. يحدث هذا عبر المعلمة
id حيث تقوم الإضافة بإضافة امتداد '.html' إلى المسار المقدم من المهاجم قبل قراءته. يتم إرجاع محتويات الملف بالكامل في حقل المحتوى الخاص باستجابة REST JSON. لا يمكن الوصول إلى الملفات التي تحمل امتدادات أخرى غير .html.التوصيات
تحديث الإضافة إلى الإصدار 4.0.2 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾