PT-2026-73103
CVE-2026-10035
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
6.6
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Turnkey bbPress من WeaverTheme السابقة للإصدار 1.7.2
الوصف
المكوّن الإضافي معرض لخطر حقن كائنات PHP (PHP Object Injection)، وهي حالة يتم فيها تمرير بيانات غير موثوق بها إلى الدالة
unserialize()، مما قد يسمح للمهاجم بالتلاعب بمنطق التطبيق. تحدث المشكلة داخل الدالة wvrbbp set to serialized values()، التي يتم الوصول إليها عبر معالج استعادة الإعدادات wvrbbp save restore(). تقوم الدالة بمعالجة المحتوى الخام لملف تم تحميله بواسطة مسؤول دون إجراء التحقق المناسب. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المسؤول أو أعلى استغلال هذه الثغرة لحقن كائن PHP. وعلى الرغم من عدم وجود سلسلة POP (تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية) داخل المكون الإضافي نفسه، فإن وجودها في مكون إضافي أو سمة أخرى مثبتة قد يتيح حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ التعليمات البرمجية عن بُعد.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.7.1.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام معالج استعادة الإعدادات
wvrbbp save restore(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾