PT-2026-29681
CVE-2026-4347
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-27
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي MW WP Form الخاص بـ WordPress حتى الإصدار 5.1.0 بما في ذلك
الوصف
يُعتبر المكون الإضافي MW WP Form الخاص بـ WordPress عرضة لنقل الملفات بشكل تعسفي بسبب عدم كفاية التحقق من صحة مسار الملف من خلال الدالة
generate user filepath والدالة move temp file to upload dir. وهذا يسمح للمهاجمين غير المصادق عليهم بنقل ملفات تعسفية على الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في حالة نقل ملف حساس، مثل wp-config.php. يمكن استغلال هذه الثغرة الأمنية عند إضافة حقل لتحميل الملفات إلى نموذج وتفعيل خيار «حفظ بيانات الاستفسار في قاعدة البيانات». وتؤثر هذه الثغرة على أكثر من 200,000 موقع WordPress.التوصيات
قم بتحديث المكون الإضافي MW WP Form إلى إصدار أحدث من 5.1.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾