→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-115243 · wpvivid

آپلود فایل با پسوند دلخواه (Arbitrary File Upload) در افزونه WPvivid

افزونه WPvivid — Backup, Migration & Staging در نسخه‌های ۰٫۹٫۱۳۷ و قبل از آن، هنگام پردازش بارگذاری واردات، پسوند فایلی را که واقعاً ذخیره می‌شود اعتبارسنجی نمی‌کند؛ بررسی پسوند روی فیلد جداگانه‌ای از درخواست انجام می‌شود و در عین حال بررسی نوع فایل وردپرس غیرفعال است. در نتیجه یک مدیر احراز هویت‌شده می‌تواند فایلی با پسوند دلخواه، از جمله PHP، را در پوشه واردات افزونه ذخیره کند و زمینه اجرای کد مخرب روی وب‌سایت را فراهم آورد. این نقص اصلاح ناقص CVE-2025-5961 است و تاکنون وصله رسمی برای آن منتشر نشده؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا با فایروال وب درخواست‌های مشکوک را محدود نمایید.