CVE-2026-3576

المكوّن الإضافي «Planyo Online Reservation System» لإصدارات WordPress السابقة للإصدار 3.1

يوجد ثغرة في «تزوير الطلبات من جانب الخادم (SSRF)» دون مصادقة تؤدي إلى «تضمين الملفات المحلية (LFI)». يعمل ملف ulap.php كوكيل AJAX ويمكن الوصول إليه دون مصادقة. تقوم الدالة send http post() بمقارنة مضيف عنوان URL المقدم بقائمة المسموح بها التي تحتوي على «localhost»، لكنها لا تتحقق من صحة مخطط عنوان URL. وهذا يسمح للمهاجم باستخدام بروتوكول file:// لتجاوز فحص المضيف، حيث تحدد الدالة parse url() المضيف على أنه «localhost». ثم تتم معالجة عنوان URL بواسطة curl init() أو fopen()، مما يتيح قراءة ملفات محلية عشوائية مثل /etc/passwd وwp-config.php عبر استجابة HTTP.

قم بتحديث المكون الإضافي Planyo Online Reservation System الخاص بـ WordPress إلى إصدار أحدث من 3.0.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى ملف ulap.php.