PT-2026-138773
CVE-2026-104913
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Interactive Real Estate – Floor Plan & Building Visualizer الإصدارات السابقة لـ 2.6.1
الوصف
توجد ثغرة تسمح برفع ملفات عشوائية في الدالة
extract zip data(). ينبع هذا الخلل من غياب التحقق من الصلاحيات، والتحقق من الـ nonce، والتحقق من امتدادات الملفات أو أنواع MIME عند نسخ أعضاء ملفات ZIP إلى دليل التحميلات. يمكن للمستخدمين المصرح لهم الذين لديهم صلاحيات وصول بمستوى مشترك أو أعلى استغلال ذلك لرفع ملفات قابلة للتنفيذ، مما قد يؤدي إلى تنفيذ رموز عن بُعد. تظهر هذه المشكلة فقط في المواقع التي لديها ترخيص Freemius Premium نشط أو فترة تجريبية، حيث يعتمد النظام على التحقق من الترخيص على مستوى الموقع بدلاً من التحقق من الصلاحيات لكل مستخدم.التوصيات
تحديث Interactive Real Estate – Floor Plan & Building Visualizer إلى الإصدار 2.6.1 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة
extract zip data() للمستخدمين الذين لديهم امتيازات منخفضة المستوى. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾