PT-2026-51128
CVE-2026-9843
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة Database for Contact Form 7, WPforms, Elementor forms لـ WordPress الإصدارات السابقة لـ 1.5.2
الوصف
تسمح هذه الثغرة للمهاجمين غير المصرح لهم بحذف ملفات عشوائية من الخادم بسبب عدم كفاية التحقق من مسار الملف في الدالة
view page(). تحدث عملية الاستغلال عندما يقوم المسؤول بعرض أو تحرير إدخال نموذج ملوث؛ عندها يقوم محلل الأقواس في PHP بإعادة تشكيل مفتاح JSON الذي صممه المهاجم لتجاوز فحص isset للمسار المخزن، مما يؤدي إلى حذف الملف المحدد عبر تقنية traversal. قد يؤدي حذف الملفات الحساسة، مثل wp-config.php إلى تنفيذ رموز عن بُعد. هناك تقارير عن زيادة في أنشطة المهاجمين التي تستهدف هذه الإضافة.التوصيات
تحديث الإضافة إلى إصدار أحدث من 1.5.1.
كإجراء مؤقت، قم بتقييد وصول المسؤولين إلى عرض أو تحرير إدخالات النماذج من المصادر غير الموثوقة حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾