CVE-2026-7547

Woosa – Marktplaats لـ WooCommerce، الإصدارات الأقدم من 2.0.5

يؤدي عدم كفاية تنقية المسار في الدالة render logs ui() إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول من قراءة ملفات عشوائية على الخادم، مثل ملف wp-config. تحدث هذه المشكلة لأن المكون الإضافي يقبل اسم ملف مشفر بـ base64 عبر معلمة GET ’log file‘ ويقوم بربطه بمسار دليل السجلات دون التحقق من أن المسار الناتج يبقى ضمن الدليل المقصود. ويؤدي ذلك إلى حدوث «تجاوز المسار» (Path Traversal)، وهي تقنية تُستخدم للوصول إلى الملفات والدلائل المخزنة خارج مجلد جذر الويب.

قم بالتحديث إلى إصدار أحدث من 2.0.4.

كحل مؤقت، قم بتقييد الوصول إلى الدالة render logs ui() أو المعلمة ’log file‘ حتى يتم تطبيق التحديث.