→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-115242 · wpvivid

پیمایش مسیر (Path Traversal) و نوشتن فایل خارج از نصب وردپرس در افزونه WPvivid

افزونه WPvivid — Backup, Migration & Staging در نسخه‌های ۰٫۹٫۱۳۷ و پیش از آن، پوشه مقصد staging را که به هندلر شروع staging داده می‌شود به‌درستی پاک‌سازی نمی‌کند و فقط یک فیلتر متنی عمومی اعمال می‌کند، در حالی که هندلر بررسی قابلیت نوشتن از پاک‌ساز صحیح نام فایل استفاده می‌کند. بنابراین مدیر احراز هویت‌شده می‌تواند مسیری شامل توالی‌های پیمایش وارد کند و باعث شود فایل‌های کپی‌شده سایت بیرون از دایرکتوری نصب وردپرس نوشته شوند و یکپارچگی فایل‌های سرور به خطر بیفتد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال برنامه‌های وب محدود نمایید.