یک نقص امنیتی با شناسه CVE-2026-110253 در افزونه weForms – Easy Drag & Drop Contact Form Builder For WordPress کشف شده است. این آسیب‌پذیری به دلیل اعتبارسنجی ناکافی مسیر فایل (Insufficient File Path Validation) در تابع weforms_delete_entry_attachments رخ می‌دهد.
جزئیات فنی و نحوه بهره‌برداری
این نقص امنیتی به مهاجمان Unauthenticated (بدون نیاز به احراز هویت) اجازه می‌دهد تا فایل‌های رسانه‌ای دلخواه را از روی سرور حذف کنند. برای اجرای این حمله، مهاجم ابتدا یک ورودی «مسموم» (Poisoned Entry) را از طریق فرم ارسال می‌کند. سپس، زمانی که مدیر سایت در یک اقدام روتین برای مدیریت اسپم‌ها، این ورودی را به صورت دائمی حذف می‌کند، فایل‌های هدف در سرور پاک می‌شوند.
نسخه‌های آسیب‌پذیر
- تمامی نسخه‌های تا و شامل نسخه 1.6.28 تحت تاثیر این آسیب‌پذیری هستند.
به مدیران سایت‌های وردپرسی توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از بروز این مشکل جلوگیری شود.
