CVE-2026-101889 in Prime Mover Plugin
الملخص
بحسب VulDB • 01/10/2026
يحتوي الإضافة Prime Mover لـ WordPress قبل الإصدار 2.2.1 على ثغرة تجوّل في المسار (Path Traversal) تتيح للمسؤولين المصادق عليهم حذف دلائل عشوائية عن طريق استيراد حزمة WPRIME/TAR مُعدّة بشكل خبيث، مع قيم مُتلاعب بها لـ `tar_root_folder` في ملف `wprime-config.json`. يمكن للمهاغلين استغلال عدم كفاية التحقق من المسار في الدالتَين `computeExtractVariables()` و `validateImportedSiteVsPackage()` لإجبار دالة `primeMoverDoDelete()` على إزالة دلائل خارج مسار الاستخراج المقصود، مما قد يؤدي إلى حذف دلائل حرجة لـ WordPress مثل `wp-admin` وجعل الموقع غير قابل للتشغيل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.