إضافة BuddyPress XProfile Image Field <= 3.1.0 - حذف ملفات عشوائية دون مصادقة عبر معالج تفعيل حقل صورة التسجيل

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

إضافة BuddyPress XProfile Image Field لنظام WordPress مصابة بثغرة حذف ملفات عشوائية في جميع الإصدارات حتى 3.1.0 ضمناً. يعود هذا إلى استدعاء دالة bpxp_image_field_update_on_user_activation() لـ unlink() على مسار مُنشأ من بيانات التسجيل الوصفية المُقدّمة من الزائر بدون تحليل realpath()، ودون التحقق من الاحتواء ضد دليل صور الملف الشخصي، ودون قائمة سماح للامتدادات. يؤدي إرسال ملف بحجم صفر بايت مع معامل 'field_N_hidden' أثناء التسجيل إلى قيام الإضافة بتخزين القيمة الخام، والتي يتم حلها بعد ذلك مقابل الجذر المستند عند تفعيل التسجيل المعلق. يتيح هذا للمهاجمين دون مصادقة حذف ملفات عشوائية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ أوامر عن بُعد عند حذف الملف الصحيح (مثل wp-config.php). يتطلب ذلك فتح باب التسجيل ووجود حقل ملف شخصي من نوع صورة في نموذج التسجيل.

المعالجة

1. أحصِ جميع نشرات kalengi BuddyPress XProfile Custom Image Field، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2025-48158
• مرجعhttps://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L488
• مرجعhttps://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L494
• مرجعhttps://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L507
• مرجعhttps://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L526
• مرجعhttps://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L587
• مرجعhttps://www.wordfence.com/threat-intel/vulnerabilities/id/1a53bcf5-61ed-427c-9efd-29c9309d2426?source=cve