CVE-2026-15802

إصدارات WP Foodbakery السابقة للإصدار 4.10

يحتوي المكون الإضافي WP Foodbakery الخاص بـ WordPress على ثغرة تسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى بحذف ملفات عشوائية على الخادم. يحدث هذا بسبب عدم كفاية التحقق من صحة مسار الملف داخل الدالة delete locations backup file callback()، وتحديدًا عند معالجة إجراء AJAX delete locations backup file. قد يؤدي حذف الملفات الهامة، مثل wp-config.php، إلى تنفيذ التعليمات البرمجية عن بُعد.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.9.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة delete locations backup file callback() للمستخدمين الذين يتمتعون بأذونات على مستوى المشترك.