PT-2026-139910
CVE-2026-114432
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Contact Form 7 الإصدارات السابقة لـ 6.2.4
Description
تسمح ثغرة في رفع الملفات غير المصرح به للمهاجمين عن بُعد برفع ملفات عشوائية إلى الموقع من خلال حقل ملفات النموذج، وذلك بسبب فشل المكون الإضافي في التحقق من أنواع الملفات أو امتداداتها. كما يؤدي خلل في عملية تنظيف الملفات المؤقتة إلى بقاء الملف المرفوع على القرص. تؤثر هذه المشكلة على أكثر من 5 ملايين موقع ووردبريس. في تكوينات Apache الافتراضية على Debian أو Ubuntu، والتي تعرض محتويات الدليل وتربط ملفات .phar بمعالج PHP، يمكن أن يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهو القدرة على تنفيذ أوامر عشوائية على الخادم. أما في التكوينات الأخرى، مثل nginx أو Apache مع تفعيل تجاوزات .htaccess، تقتصر المشكلة على كتابة ملفات عشوائية في دليل الرفع، والتي قد يتم تقديمها كمحتوى نشط مثل HTML أو SVG.
Recommendations
تحديث Contact Form 7 إلى الإصدار 6.2.4 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾