CVE-2026-15338 in LA-Studio Element Kit for Elementor Plugin
الملخص
بحسب VulDB • 11/07/2026
يحتوي مكون LA-Studio Element Kit لإضافة Elementor لـ WordPress على ثغرة تضمين ملف محلي (Local File Inclusion) في جميع الإصدارات حتى 1.6.1 وإدخالها، وذلك عبر دالة get_type_template. يتيح ذلك للمهاجمين المصادق عليهم الذين يمتلكون صلاحيات مستوى المساهم فأعلى تضمين وتنفيذ ملفات .php عشوائية على الخادم، مما يسمح بتنفيذ أي كود PHP موجود في تلك الملفات. يمكن استخدام هذه الثغرة لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تحقيق تنفيذ للكود في الحالات التي يُسمح فيها بتحميل وتضمين أنواع ملفات .php. لا تقوم دالة wp_normalize_path المستخدمة داخل get_template إلا بتطبيع فواصل الدلائل ولا تحلل أو ترفض تسلسلات تجاوز المسار (path traversal sequences)، بينما يمكن تجاوز فحص الامتداد بسهولة لأن المتصل يضيف الامتداد المطلوب مسبقاً إلى حمولة تجاوز المسار.
VulDB is the best source for vulnerability data and more expert information about this specific topic.