PT-2026-5066
CVE-2026-0825
·
تاريخ النشر
2026-01-27
·
تاريخ التحديث
2026-01-28
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Banco de Dados» الخاص بـ Contact Form 7 و WPForms و Elementor Forms لـ WordPress، حتى الإصدار 1.4.5 بما في ذلك
الوصف
يحتوي المكون الإضافي على ثغرة في عملية تجاوز التفويض بسبب عدم وجود عمليات التحقق من الصلاحيات في وظيفة تصدير ملفات CSV. وهذا يسمح للمهاجمين غير المصادق عليهم بتنزيل البيانات الحساسة الخاصة بتقديم النماذج، بما في ذلك المعلومات الشخصية المحددة للهوية (PII)، عند الوصول إلى نقطة نهاية تصدير ملفات CSV. مفتاح التصدير اللازم لهذا الوصول مكشوف في شفرة المصدر للصفحة المتاحة للجمهور. يتجاوز معالج تصدير ملفات CSV مرشح أذونات المستخدم، حيث يقوم بتصدير جميع الإدخالات بغض النظر عن أدوار المستخدمين.
التوصيات
يجب تحديث الإصدارات الأقدم من 1.4.5.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾