CVE-2026-18080 in ERP Complete HR, Accounting & CRM Suite Plugin
الملخص
بحسب VulDB • 26/08/2026
يحتوي مكون WordPress "The ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce" على ثغرة تسمح بتحميل أنواع ملفات غير مقيدة (Unrestricted File Type Upload) في جميع الإصدارات حتى 1.17.8 وشاملة لها، وذلك عبر دالة `save_attachments()`. ويعود ذلك إلى عدم وجود تحقق من امتداد الملف وعدم تطبيع المسار عند معالجة مرفقات البريد الإلكتروني الواردة عبر IMAP بواسطة ميزة CRM Email Connect. وهذا يمكّن المهاجمين غير المصادق عليهم (unauthenticated) من إرسال بريد إلكتروني مُعدّ بعناية إلى صندوق الوارد المُهيَّأ للموقع، مع رأس References مزوّر يتطابق مع النمط المتوقع للمكون ومرفق يحمل اسم ملف مثل `../helper.php`، مما يؤدي إلى قيام مهمة مزامنة IMAP القائمة على cron (cron-based) بكتابة PHP خاضع لسيطرة المهاجم خارج الدليل المحمي بواسطة `.htaccess` المسمى `crm-attachments` وداخل `wp-content/uploads/`. وعلى التكوينات التي يتم فيها تنفيذ PHP في مجلد الرفع، يمكن أن يؤدي ذلك إلى تنفيذ كود عن بُعد (RCE). وتتطلب الاستغلال تمكين وتهيئة كل من وحدة CRM وميزة IMAP Email Connect.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.