CVE-2026-14524

إصدارات ProSolution WP Client الأقدم من 2.0.9

يؤدي عدم كفاية التحقق من صحة مسار الملف في الدالة proSol fileDeleteProcess() إلى تمكين المهاجمين غير المصادق عليهم من حذف ملفات عشوائية على الخادم. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد في حالة إزالة ملفات مهمة، مثل wp-config.php. يتضمن الاستغلال عملية من خطوتين: أولاً، استدعاء معالج proSol fileUploadModalProcess لتسميم الجلسة بمفتاح تجاوز المسار، وثانياً، استدعاء proSol fileDeleteProcess() باستخدام هذا المفتاح كمعلمة filename. يتطلب كلا الإجراءين رقم عشوائي (nonce) للواجهة الأمامية مكشوف للجمهور.

قم بتحديث ProSolution WP Client إلى الإصدار 2.0.9 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة proSol fileDeleteProcess().