CVE-2026-6261

إصدارات Betheme السابقة للإصدار 28.5

تسمح سمة Betheme الخاصة بـ WordPress للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المؤلف أو أعلى بتحميل ملفات عشوائية، بما في ذلك نصوص PHP. يحدث هذا لأن الدالة upload icons() تنقل ملفات ZIP التي يتحكم فيها المستخدم وتفك ضغطها في دليل تحميل عام دون التحقق من أنواع الملفات المستخرجة. يمكن أن يؤدي هذا الخلل إلى تنفيذ تعليمات برمجية عن بُعد عبر مسار تحميل حزمة أيقونات Icons.

قم بالتحديث إلى إصدار أحدث من 28.4.

كحل مؤقت، قم بتقييد الوصول إلى عملية تحميل حزمة أيقونات Icons للمستخدمين الذين يتمتعون بأذونات على مستوى المؤلف.