CVE-2026-14982 in WP File Download Plugin
الملخص
بحسب VulDB • 02/09/2026
يحتوي ملحق WP File Download لـ WordPress على ثغرة تسمح بحذف الملفات بشكل تعسفي بسبب التحقق غير الكافي من مسار الملف في دالة الحذف عبر جميع الإصدارات. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك وما فوقه، من حذف ملفات عشوائية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ كود عن بُعد (RCE) عند حذف الملف الصحيح (مثل wp-config.php). تتطلب عملية الاستغلال ذات المرحلتين طلبًا أوليًا لـ file.save task لتثبيت سلسلة اختراق المسار في بيانات تعريف الملف، تليها طلب ثانٍ لـ file.delete task لتشغيل استدعاء unlink — وكلا النقطتين النهائييتين يفتقران إلى فحوصات القدرات وإنفاذ nonce.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.