PT-2026-68025
CVE-2026-5581
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Multi Uploader for Gravity Forms الأقدم من 1.1.9
الوصف
يمكن للمهاجمين غير المصادق عليهم حذف أي مرفق وسائط في WordPress نهائيًا عن طريق تقديم معرّف المرفق الخاص به. تحدث هذه المشكلة لأن الدالة
plupload ajax delete file()، المسجلة عبر wp ajax nopriv gfmu delete file، تفتقر إلى عمليات التحقق الضرورية من الصلاحيات. بالإضافة إلى ذلك، فإن الرمز العشوائي (nonce) المستخدم للحماية من تزوير الطلبات عبر المواقع (CSRF) — وهو رمز أمان يُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به تطبيق الويب — يُكشف على الصفحات العامة التي تحتوي على حقل نموذج Multi Uploader من خلال كائن JavaScript GFMU options.التوصيات
قم بتحديث Multi Uploader for Gravity Forms إلى إصدار أحدث من 1.1.8.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾