CVE-2026-92820 in Ninja Forms Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي إضافة Ninja Forms - File Uploads لـ WordPress على ثغرة تسمح بإجراء عمليات ملفات تعسفية في جميع الإصدارات حتى 3.3.34 (شاملةً) عبر تدفق الرفع الخارجي (Amazon S3). تثق الإضافة مسار ملف مُقدَّم من قبل مهاجم عند إرسال النموذج وتخزنه كقيمة `file_path` للرفع، والتي تُستخدم لاحقاً دون تحقق لإرفاق ملف ببريد إشعار النموذج (قراءة ملفات تعسفية)، لكتابة محتوى مسترجع (كتابة ملفات تعسفية، مما يؤدي إلى تنفيذ أكواد عن بُعد عندما يكون المخزن الخارجي مُهيّأً)، وفي عملية حذف مجدولة (حذف ملفات تعسفي). وهذا يمكّن المهاجمين غير المصادَق عليهم من قراءة أو كتابة أو حذف ملفات عشوائية على الخادم. يتطلب الاستغلال أن يستخدم الموقع إجراء رفع الملفات الخارجية (Amazon S3) الخاص بالإضافة؛ وتتطلب النسخة الخاصة بالقراءة أيضاً وجود إجراء بريد إلكتروني للنموذج مُهيّأ لرفق الملف المُحمّل.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.