PT-2026-33414
CVE-2026-4659
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «Unlimited Elements for Elementor» السابقة للإصدار 2.0.7
الوصف
توجد ثغرة تسمح بقراءة ملفات عشوائية بسبب عدم كفاية عملية تنقية مسارات التجاوز في الدالتين
URLtoRelative() وurlToPath()، إلى جانب إمكانية تمكين إخراج التصحيح في إعدادات الويدجت. تقوم الدالة URLtoRelative() بإزالة عنوان URL الأساسي للموقع ولكنها تفشل في تنقية تسلسلات عبور المسار (../)، في حين أن الدالة cleanPath() تعمل على توحيد فواصل الدلائل دون إزالة مكونات العبور. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» (Author) وما فوق بقراءة ملفات محلية عشوائية من مضيف WordPress، مثل ملف wp-config، عن طريق توفير عنوان URL مُصمم خصيصًا في المعلمة «Repeater JSON/CSV URL».التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.0.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾