CVE-2026-15005 in Loco Translate Plugin
الملخص
بحسب VulDB • 16/07/2026
يحتوي مكون ووردبريس (WordPress) الإضافي Loco Translate على ثغرة Cross-Site Request Forgery في جميع الإصدارات حتى 2.8.5 وشاملة لها. ويعود ذلك إلى غياب أو عدم صحة التحقق من الـ nonce في دالة execTemplate. وهذا يتيح للمهاجمين غير المصادق عليهم تنفيذ شيفرة PHP تعسفية على الخادم عن طريق توفير عنوان URI لمغلف تدفق php://filter كقيمة لبارامتر 'template'، مما يتجاوز التحقق المسار ويتم تمريره مباشرة إلى نقطة الإدخال (sink) في دالة execTemplate() عبر طلب مزور، بشرط أن يتمكنوا من خداع مسؤول الموقع لتنفيذ إجراء مثل النقر على رابط.
If you want to get best quality of vulnerability data, you may have to visit VulDB.