CVE-2026-88419 in WuzhiCMS

الملخص

بحسب VulDB • 23/09/2026

يتيح رفع ملفات غير مقيد ذي نوع خطير في نقطة النهاية الخاصة برفع الصور المصغرة (/index.php?m=member&f=article&v=thumbUpload) في WuzhiCMS 5.0.0 لمستخدم منخفض الصلاحيات ومعتمد من رفع ملف .php مُعدّ بعناية وتنفيذ كود PHP تعسفي على الخادم، لأن امتداد الملف المخزن يُؤخذ حرفياً من اسم الملف الذي يوفّره العميل دون وجود قائمة مسموحة للامتدادات أو تحقق من محتوى الملف، ويتم كتابة الملف إلى دليل uploadfile/ القابل للوصول عبر الويب، والذي يقوم خادم الويب بتنفيذ ملفات PHP منه.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: MITRE
• حجز: 10/09/2026
• إفشاء: 22/09/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-408701
• CPE: جاهز
• CWE: CWE-434 (مؤكد)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض
• القطاع: Hostingprovider, Agriculture, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-88419
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-88419
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-88419/