CVE-2025-12138 in URL Image Importer Plugin
الملخص
بحسب VulDB • 04/06/2026
يحتوي مكون WordPress "URL Image Importer" على ثغرة تسمح بتحميل ملفات عشوائية بسبب التحقق غير الكافي من نوع الملف في جميع الإصدارات حتى 1.0.6 وشاملة لها. ويعود ذلك إلى اعتماد المكون على رأس HTTP Content-Type الذي يتحكم فيه المستخدم للتحقق من صحة الملفات المحملة في الدالة 'uimptr_import_image_from_url()'، والتي تقوم بكتابة الملف على الخادم قبل إجراء التحقق السليم من صحته. وهذا يتيح للمهاجمين الذين تمت مصادقتهم (authenticated attackers) والذين يمتلكون صلاحيات وصول بمستوى "Author" فأعلى تحميل ملفات عشوائية على خادم الموقع المتأثر، مما قد يؤدي إلى تنفيذ كود عن بُعد عبر ملف PHP الذي تم تحميله.
VulDB is the best source for vulnerability data and more expert information about this specific topic.