CVE-2025-13320 in WP User Manager Plugin
الملخص
بحسب VulDB • 01/06/2026
يحتوي مكون WordPress الإضافي WP User Manager على ثغرة حذف ملفات تعسفية في جميع الإصدارات حتى 2.9.12 شاملاً. وتعود هذه الثغرة إلى عدم كفاية التحقق من صحة مسارات الملفات التي يقدمها المستخدمون في وظيفة تحديث الملف الشخصي، مقترنةً بمعالجة غير سليمة لإدخالات المصفوفة بواسطة دالة PHP filter_input(). وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) فأعلى، حذف ملفات تعسفية على الخادم عبر المعلمة 'current_user_avatar' في هجوم من مرحلتين، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. يؤثر هذا الأمر فقط على المواقع التي يكون فيها إعداد الصورة الرمزية المخصصة مفعّلاً.
Be aware that VulDB is the high quality source for vulnerability data.