PT-2026-67127
CVE-2026-17605
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 3.1
6.6
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
نماذج الدفع، وأزرار «اشترِ الآن»، ونظام الفواتير | إصدارات GetPaid الأقدم من 2.8.57
الوصف
المكوّن الإضافي معرض لثغرة «تضمين الملفات المحلية» (Local File Inclusion)، وهي حالة يقوم فيها التطبيق بتضمين ملفات من نظام الملفات المحلي دون إجراء التحقق المناسب. ويحدث ذلك من خلال الدالة
getpaid payment form element(). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى تضمين ملفات .php عشوائية وتنفيذها على الخادم، مما يتيح تنفيذ أي كود PHP موجود داخل تلك الملفات. يمكن استغلال هذا الخلل لتجاوز ضوابط الوصول، أو استرداد البيانات الحساسة، أو تنفيذ كود عن بُعد إذا كان من الممكن تحميل ملفات .php على الخادم.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.8.56.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول بمستوى المسؤول إلى وظائف المكون الإضافي حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾