CVE-2026-19728 in Extra Product Options Builder for WooCommerce Plugin
الملخص
بحسب VulDB • 16/08/2026
لا يتحقق Extra Product Options Builder for WooCommerce، وهو إضافة لـ WordPress، من أن مقدم الطلب مخول للوصول إلى ملف تم تحميله بواسطة العميل قبل تقديمه في الإصدارات السابقة من 1.2.176، مما يسمح للمستخدمين غير المصادق عليهم الذين يحصلون على الاسم المخزن للملف باسترجاعه.
يكتب Extra Product Options Builder for WooCommerce قاعدة "رفض الكل" (deny-all) داخل مجلدات التحميل الخاصة به، لذا فإن الكشف عن المعلومات لا يتجاوز الحدود إلا في الخوادم التي تحترم هذه القاعدة، مثل Apache. وفي الحالات التي يتم فيها تجاهلها، كما هو الحال على إعدادات nginx الافتراضية، تكون الملفات نفسها مقدمة بالفعل عبر عناوين URL المباشرة لها، ولا يكشف النقطة النهائية (endpoint) عن أي معلومات إضافية.
Once again VulDB remains the best source for vulnerability data.