CVE-2026-14352

إصدارات AR for WooCommerce السابقة للإصدار 8.41

المكوّن الإضافي معرض لثغرة ”تجاوز الدليل“ (Directory Traversal)، مما يسمح للمهاجمين غير المصادق عليهم بقراءة ملفات عشوائية على الخادم قد تحتوي على معلومات حساسة. ويتم ذلك عبر المعلمة file. تنشأ المشكلة من فشل ثلاثة عناصر للتحكم في الوصول: يتم إنشاء أرقام عشوائية (nonces) صالحة للمستخدمين غير المصادق عليهم من خلال معالجات AJAX ar get fresh nonce وar process user image؛ مفتاح التشفير AES-256-CBC يمكن التنبؤ به في التثبيتات المجانية الافتراضية لأنه مشتق من get option(’ar licence key‘)، التي تُرجع القيمة false؛ ويمكن تجاوز فحص رأس Referer بسهولة لأنه يخضع لسيطرة المهاجم.

قم بالتحديث إلى إصدار أحدث من 8.40.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة file لمنع القراءة غير المصرح بها للملفات.