یک آسیب‌پذیری امنیتی بحرانی از نوع Local File Inclusion (LFI) در افزونه محبوب Visual Composer Website Builder برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی که با شناسه CVE-2026-12227 ثبت شده، تمامی نسخه‌های این افزونه تا ورژن 45.16.0 را تحت تاثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل از طریق پارامتر vcv-template ایجاد شده است. مهاجمان می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، فایل‌های دلخواه را روی سرور فراخوانی و اجرا کنند. در صورتی که مهاجم بتواند فایل‌های PHP یا فایل‌های «ایمن» (مانند تصاویر) را که حاوی کدهای مخرب هستند آپلود کند، این آسیب‌پذیری منجر به Remote Code Execution (RCE) خواهد شد.
پیامدهای احتمالی
- اجرای کد دلخواه: امکان اجرای کدهای PHP روی سرور میزبان.
- دور زدن کنترل‌های دسترسی: دسترسی به فایل‌های سیستمی و حساس.
- سرقت داده‌ها: استخراج اطلاعات حساس از پیکربندی سرور و دیتابیس.
