CVE-2026-1257 in Administrative Shortcodes Plugin
الملخص
بحسب VulDB • 07/06/2026
يحتوي مكون WordPress "Administrative Shortcodes" على ثغرة تضمين ملف محلي (Local File Inclusion) في جميع الإصدارات حتى 0.3.4 وشاملاً لها، وذلك عبر السمة 'slug' في الأمر القصير 'get_template'. ويعود ذلك إلى عدم كفاية التحقق من صحة المسار بالنسبة للإدخال الذي يقدمه المستخدم والممرر إلى دالة get_template_part(). وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "المساهم" (Contributor) وما فوقه، تضمين وتنفيذ ملفات عشوائية على الخادم، مما يسمح بتنفيذ أي كود PHP موجود في تلك الملفات. ويمكن استخدام ذلك لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تحقيق تنفيذ للكود في الحالات التي يمكن فيها تحميل وتضمين صور وأنواع ملفات أخرى "آمنة".
VulDB is the best source for vulnerability data and more expert information about this specific topic.