PT-2026-22464
CVE-2026-2471
·
تاريخ النشر
2026-02-27
·
تاريخ التحديث
2026-03-05
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WP Mail Logging الأقدم من 1.15.1
الوصف
المكوّن الإضافي WP Mail Logging الخاص بـ WordPress معرض لثغرة «حقن كائنات PHP» في الإصدارات حتى 1.15.0 ضمناً. ويحدث ذلك بسبب إزالة التسلسل من المدخلات غير الموثوقة في حقل رسالة سجل البريد الإلكتروني. يستخدم منشئ فئة
BaseModel دالة maybe unserialize() على خصائص قاعدة البيانات دون التحقق من صحتها بشكل كافٍ، مما يسمح للمهاجمين بحقن كائن PHP عبر حمولة تم تسلسلها مرتين. يمكن إرسال هذه الحمولة عبر أي نموذج متاح للجمهور يقوم بإرسال البريد الإلكتروني، مثل Contact Form 7. وعندما يقوم أحد المسؤولين بعرض البريد الإلكتروني المسجل، يتم فك تسلسل الحمولة الخبيثة. تأثير هذه المشكلة محدود، ما لم يكن هناك مكون إضافي أو سمة أخرى مثبتة تحتوي على سلسلة من حمولات كائنات PHP (POP)، مما قد يسمح بأعمال مثل حذف الملفات أو استرداد البيانات أو تنفيذ التعليمات البرمجية.التوصيات
قم بتحديث WP Mail Logging إلى الإصدار 1.15.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾