CVE-2026-14282

GoDAM – تنظيم مكتبة وسائط WordPress ومدير الملفات مع مجلدات غير محدودة للصور ومقاطع الفيديو وغيرها من الإصدارات السابقة للإصدار 1.12.3

عدم كفاية التحقق من صحة نوع الملف في الدالة save video file()، المرتبطة بمرشح wpforms process before filter العام، مما يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية إلى الخادم. تحدث هذه المشكلة لأن الدالة تثق في رأس Content-Type متعدد الأجزاء الذي يقدمه المهاجم، وتحافظ على اسم الملف الأصلي باستخدام wp unique filename()، وتنقل الملف الخام الذي تم تحميله عبر $wp filesystem->move() إلى دليل يخدمه الويب، وبذلك تتجاوز قائمة MIME والملحقات المسموح بها في wp handle upload(). قد يتيح هذا الخلل تنفيذ التعليمات البرمجية عن بُعد.

قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.12.2.

كحل مؤقت، قم بتقييد الوصول إلى الدالة save video file() حتى يتم تطبيق التحديث.