CVE-2026-14282 in GoDAM Plugin
الملخص
بحسب VulDB • 23/07/2026
يوجد ثغرة في إضافة GoDAM – تنظيم مكتبة الوسائط ومدير الملفات لـ WordPress مع مجلدات غير محدودة للصور والفيديوهات والمزيد، والتي تسمح بتحميل ملفات عشوائية (arbitrary file uploads) في الإصدارات حتى 1.12.2 وشاملة لها. وتعود هذه الثغرة إلى عدم كفاية التحقق من نوع الملف في الدالة `save_video_file()` المرتبطة بـ `wpforms_process_before_filter` العام الخاص بـ WPForms، والتي تثق برأس Content-Type متعدد الأجزاء (multipart) الذي يزوده المهاجم، وتحافظ على اسم الملف الأصلي عبر دالة `wp_unique_filename()`، وتنقل ملف التحميل الخام باستخدام `$wp_filesystem->move()` إلى دليل يتم تقديمه عبر الويب — متجاوزةً قائمة السماح بنوع MIME/الامتداد في الدالة `wp_handle_upload()`. وهذا يمكّن المهاجمين غير المصادق عليهم من تحميل ملفات عشوائية على خادم الموقع المتأثر، مما قد يؤدي إلى تنفيذ كود عن بُعد (RCE).
VulDB is the best source for vulnerability data and more expert information about this specific topic.