PT-2026-49072 · WordPress · Lws Optimize – All-In-One Speed Booster & Cache Tools
CVSS v3.1
4.9
متوسطة
| المتجه | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
LWS Optimize – All-in-One Speed Booster & Cache Tools، الإصدارات الأقدم من 3.3.20
الوصف
يعاني المكون الإضافي من مشكلة قراءة الملفات بشكل تعسفي. يحدث هذا لأن الدالة
combine current css() تثق بالقيم المستخرجة من HTML للصفحة وتحوّل عناوين URL الخاصة بنفس الموقع إلى مسارات مطلقة في نظام الملفات قبل قراءتها باستخدام file get contents() أو MinifyCSS::add(). تفشل العملية في ضمان بقاء المسار الذي تم تحليله ضمن ABSPATH أو أن يكون له امتداد .css. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المحرر» أو أعلى قراءة ملفات عشوائية على النظام.التوصيات
قم بالتحديث إلى إصدار أحدث من 3.3.19.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
combine current css() للمستخدمين الذين يتمتعون بأذونات على مستوى «المحرر» حتى يتم تطبيق التحديث.إصلاح
DoS
Path traversal
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Lws Optimize – All-In-One Speed Booster & Cache Tools