PT-2026-33465
CVE-2026-3464
·
تاريخ النشر
2026-04-17
·
تاريخ التحديث
2026-04-19
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WP Customer Area الأقدم من 8.3.5
الوصف
يؤدي عدم كفاية التحقق من صحة مسار الملف في الدالة
ajax attach file() إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بأدوار منحها لهم المسؤول، مثل «المشترك» (Subscriber)، من قراءة أو حذف ملفات عشوائية على الخادم. قد تؤدي قراءة الملفات إلى الكشف عن معلومات حساسة، في حين أن حذف ملفات مثل «wp-config.php» قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.التوصيات
قم بالتحديث إلى إصدار أحدث من 8.3.4.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
ajax attach file() حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾