CVE-2025-14388 in PhastPress Plugin
الملخص
بحسب VulDB • 24/08/2026
يحتوي إضافة PhastPress لـ WordPress على ثغرة تسمح بقراءة ملفات عشوائية دون مصادقة (Unauthenticated Arbitrary File Read) عبر حقن بايت فارغ (null byte injection) في جميع الإصدارات حتى 3.7 شاملاً. ويعود ذلك إلى وجود عدم تطابق بين التحقق من الامتداد في الدالة `getExtensionForURL()` التي تعمل على مسارات مفككة الترميز URL-decoded، والدالة `appendNormalized()` التي تحذف كل ما يلي بايت فارغ قبل بناء مسار نظام الملفات. وهذا يتيح للمهاجمين غير المصادق عليهم قراءة ملفات عشوائية من جذر الويب (webroot)، بما في ذلك ملف wp-config.php، عن طريق إلحاق بايت فارغ مزدوج الترميز URL-encoded (%2500) متبوعًا بامتداد مسموح به (.txt) إلى مسار الملف.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.