PT-2026-66696
CVE-2026-14483
·
تاريخ النشر
2026-07-30
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Realtyna Organic IDX + المكوّن الإضافي WPL Real Estate لإصدارات WordPress الأقدم من 5.2.1
الوصف
توجد مشكلة تتعلق بتحميل الملفات بشكل تعسفي بسبب عدم وجود التحقق من صحة نوع الملف في وظيفة التحميل. يتم تسجيل نقطة نهاية خدمة WPL I/O على خطاف init العام في WordPress دون إجراء فحص للصلاحيات، وتعتمد على بيانات اعتماد API ثابتة يتم توفيرها من قبل المكون الإضافي (
api key وapi secret) والتي تكون متطابقة في جميع عمليات التثبيت. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات قابلة للتنفيذ، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 5.2.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة نهاية خدمة WPL I/O.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾