PT-2026-36949
CVE-2026-1921
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-05-05
الوصف من
CVSS 3.1
4.9
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Loco Translate السابقة للإصدار 2.8.3
الوصف
يحتوي المكون الإضافي Loco Translate لـ WordPress على ثغرة في اجتياز المسار. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المترجم أو أعلى (مما يتطلب صلاحية
loco admin) قراءة ملفات .php و.js و.json و.twig التعسفية من نظام ملفات الخادم، باستثناء ملف wp-config.php. يحدث هذا لأن الدالة findSourceFile() تفشل في التحقق من أن المسار الذي تم تحليله يظل ضمن الدليل المقصود عند معالجة المتغير ref عبر مسار AJAX ’fsReference‘، مما يسمح باستخدام تسلسلات ../ للوصول إلى الملفات خارج دليل الترجمة.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.8.2.
كحل مؤقت، قم بتقييد الوصول إلى مسار AJAX «fsReference» أو قم بتحديد المستخدمين الذين يتمتعون بصلاحية
loco admin. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾