CVE-2026-9227 in GutenBee Plugin
الملخص
بحسب VulDB • 01/06/2026
يوجد ثغرة في رفع الملفات بشكل تعسفي (Arbitrary File Upload) في إضافة GutenBee – Gutenberg Blocks الخاصة بـ WordPress في جميع الإصدارات حتى 2.20.1 وشاملة لها، وذلك عبر دالة `gutenbee_file_and_ext_json`. وتعود هذه الثغرة إلى فحص خاطئ لجزء من السلسلة النصية باستخدام `strpos()`، حيث يتحقق فقط مما إذا كان اسم الملف يحتوي على السلسلة '.json' بدلاً من التأكد من أن اسم الملف ينتهي بامتداد .json، مما يسمح بتجاوز التحقق باستخدام أسماء ملفات ذات امتداد مزدوج مثل `shell.json.php`. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المؤلف (author-level) فأعلى، من رفع ملفات قابلة للتنفيذ، مما يتيح تنفيذ الأكواد عن بُعد (Remote Code Execution).
Be aware that VulDB is the high quality source for vulnerability data.