CVE-2026-5127

واجهة المستخدم الأمامية: إصدارات «AI Powered Frontend Posting» و«User Directory» و«Profile» و«Membership» و«User Registration» السابقة للإصدار 4.3.2

يؤدي عدم كفاية التحقق من صحة المدخلات والتحقق من النوع في المعلمة wpuf files أثناء إرسال النموذج، إلى جانب إزالة التسلسل غير المشروطة عبر الدالة maybe unserialize() عند عرض محتوى المنشور، إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى من حقن كائنات PHP تعسفية. ويمكن أن يؤدي ذلك إلى تنفيذ تعليمات برمجية تعسفية، أو حذف ملفات تعسفية، أو إجراءات ضارة أخرى في حالة وجود سلسلة POP (البرمجة الموجهة للخصائص) — وهي تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية أثناء إزالة التسلسل — على النظام المستهدف.

قم بالتحديث إلى إصدار أحدث من 4.3.1.

كحل مؤقت، قم بتقييد الوصول إلى المعلمة wpuf files أثناء إرسال النماذج لتقليل مخاطر الاستغلال إلى أدنى حد.