CVE-2026-3844

إصدارات Breeze Cache الأقدم من 2.4.5

يوجد ثغرة تسمح بتحميل ملفات عشوائية في المكون الإضافي Breeze Cache الخاص بـ WordPress، مما يؤثر على حوالي 400,000 تثبيت نشط. تحدث المشكلة داخل الدالة fetch gravatar from remote() بسبب عدم التحقق من صحة نوع الملف واستخدام تعبير عادي غير صحيح يسمح باستخراج عناوين URL من السمة alt لعلامات الصور بدلاً من السمة src فقط. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة عن طريق التلاعب بالاسم المعروض للتعليق لتضمين عنوان URL ضار يشير إلى ملف PHP. عند معالجة هذا الرابط، يقوم المكون الإضافي بتنزيل الملف وحفظه على الخادم، مما قد يسمح بتنفيذ التعليمات البرمجية عن بُعد من خلال تحميل برامج PHP الخلفية. ولا يمكن استغلال هذه الثغرة إلا إذا كان الإعداد ”Host Files Locally - Gravatars“ (استضافة الملفات محليًّا - Gravatars) ممكّنًا. وقد بدأت عمليات الاستغلال الفعلية فور الكشف عن الثغرة في 22 أبريل 2026، حيث تم حظر أكثر من 30,000 محاولة بواسطة جدران الحماية الأمنية. وقد لوحظ قيام المهاجمين بتحميل برامج PHP ذاتية الحذف لإنشاء بوابات خلفية وحسابات إدارية مزيفة.

قم بتحديث Breeze Cache إلى الإصدار 2.4.5 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتعطيل الإعداد ”Host Files Locally - Gravatars“.