PT-2026-55198
CVE-2026-5524
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-07-02
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Divi Form Builder الأقدم من 5.1.9
الوصف
يؤدي عدم كفاية التحقق من صحة امتداد الملف في الدالة
do image upload() إلى تمكين المهاجمين غير المصادق عليهم من تحميل ملفات عشوائية، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. تحدث هذه المشكلة لأن المدخلات التي يقدمها المستخدم من معلمة POST acceptFileTypes يتم إدراجها مباشرةً في تعبير عادي يُستخدم للتحقق من الصحة. يمكن للمهاجمين تجاوز حماية ملف .htaccess باستخدام امتدادات قابلة للتنفيذ بواسطة PHP مثل .phtml أو .phar أو .php5 أو .php7. على الخوادم التي تعمل بنظام Nginx، تكون حماية ملف .htaccess غير فعالة تمامًا. يمكن للمهاجم الحصول على رقم عشوائي (nonce) من أي صفحة عامة تحتوي على نموذج لتحميل ملفات PHP القابلة للتنفيذ إلى الدليل /wp-content/uploads/de fb uploads/ وتنفيذها عبر HTTP.التوصيات
قم بتحديث Divi Form Builder إلى الإصدار 5.1.9 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدليل
/wp-content/uploads/de fb uploads/ لمنع تنفيذ الملفات التي تم تحميلها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾