CVE-2026-15005

إصدارات Loco Translate الأقدم من 2.8.6

يتعرض المكون الإضافي لثغرة «تزوير الطلبات عبر المواقع» (CSRF)، وهي ثغرة يتم فيها خداع الضحية من قِبل المهاجم لتنفيذ إجراءات لم تكن تنوي القيام بها. ويحدث ذلك بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه داخل الدالة execTemplate(). يمكن لمهاجم غير مصدق تنفيذه تنفيذ كود PHP تعسفي على الخادم عن طريق توفير عنوان URI لغلاف دفق php://filter عبر المعلمة template. تتجاوز هذه الطريقة التحقق من صحة المسار ويتم تمريرها مباشرةً إلى مستقبل التضمين داخل الدالة execTemplate() عبر طلب مزور، شريطة أن يتم خداع مسؤول الموقع للنقر على رابط ضار.

تحديث المكون الإضافي إلى الإصدار 2.8.6 أو أحدث.

كإجراء تخفيفي مؤقت، تقييد الوصول إلى الدالة execTemplate().