CVE-2026-13347

إصدارات Hide My WP Lite الأقدم من 1.4

توجد ثغرة تسمح بقراءة ملفات عشوائية عندما تقوم الدالة elementor assets filter() بمعالجة معلمات الاستعلام he wrapper js وhe wrapper css. تقوم الدالة بضم المدخلات التي يقدمها المستخدم مباشرةً إلى ABSPATH وتمريرها إلى file get contents() دون التحقق من صحة مسار التجاوز، أو قائمة السماح، أو احتواء المسار الحقيقي، أو فحوصات الامتدادات. وعلى الرغم من أن المخرجات تتم معالجتها بواسطة wp kses post()، التي تقوم بتصفية علامات HTML، إلا أنها لا تمنع الكشف عن محتويات الملفات التعسفية. وهذا يسمح للمهاجمين غير المصادق عليهم بقراءة الملفات الحساسة على الخادم، مثل ملف wp-config. تتطلب هذه المشكلة تثبيت المكون الإضافي Elementor وتفعيل ميزة «Hide Elementor».

قم بتحديث Hide My WP Lite إلى إصدار أحدث من 1.3.

كحل مؤقت، قم بتعطيل ميزة «Hide Elementor» لتقليل مخاطر الاستغلال.