CVE-2026-1620

إضافات Livemesh لـ Elementor، الإصدارات الأقدم من 9.1

يتعرض المكون الإضافي لثغرة «تضمين الملفات المحلية» (Local File Inclusion) بسبب عدم كفاية عملية تنقية معلمة اسم القالب داخل الدالة lae get template part(). يستخدم التنفيذ طريقة str replace() غير ملائمة يمكن تجاوزها باستخدام أنماط اجتياز الدلائل التكرارية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بتضمين وتنفيذ ملفات محلية عشوائية على الخادم من خلال التلاعب بمعلمة القالب الخاصة بالقطعة.

تحديث المكون الإضافي إلى إصدار أحدث من 9.0.