دولار
ج.م
CVE-2026-102435 ثغرة حرجة في إضافة ووردبريس Ultra Addons for Contact Form 7 (الإصدارات حتى 3.5.54 شاملة). على المواقع المتأثرة قد تسمح لزائر غير مسجّل بحذف ملفات مهمة. في أسوأ الحالات—خصوصًا مع إصدارات قديمة من Contact Form 7—قد يصل الأمر إلى السيطرة الكاملة على الموقع.
على استضافة سي بانل من برمجينا، Imunify360 يمنع بالفعل محاولات الاستغلال المعروفة لهذه الثغرة على مستوى جدار حماية التطبيق (WAF). ومع ذلك يجب تحديث الإضافات في كل موقع ووردبريس يستخدمها.
ما الذي يتأثر؟
- الإضافة: Ultra Addons for Contact Form 7، الإصدارات 3.5.54 وأقدم
- الإصلاح: Ultra Addons 3.5.55 أو أحدث
- درجة الخطورة: Critical (CVSS 9.8)
الموقع يكون قابلًا للاستغلال فقط عندما تكون إضافة PDF Generator مفعّلة ويكون هناك نموذج معدّ لتوليد ملفات PDF. المواقع التي لا تستخدم ميزة الـ PDF هذه غير معرّضة لمسار الهجوم المحدد هذا.
لماذا تهم الثغرة؟
الثغرة حقن كائن PHP داخل PDF Generator. إرسال نموذج مُعدّ بعناية قد يخدع كود التنظيف في Contact Form 7 ليحذف ملفات يختارها المهاجم—بدون الحاجة لتسجيل دخول ووردبريس.
- مع Contact Form 7 أقدم من 6.1.1 قد يصل الحذف إلى ملفات حرجة مثل
wp-config.php، ما قد يسمح بالسيطرة الكاملة على الموقع. - مع Contact Form 7 6.1.1+ يصبح نطاق الحذف أضيق (مثل داخل
wp-content)، لكن الموقع ما زال قد يتضرر (إضافات أو قوالب أو مرفوعات).
ظهرت بالفعل محاولات استغلال علنية ضد مواقع Contact Form 7 (بما فيها خوادم محمية بـ Imunify360). الجدار يساعد، لكنه لا يغني عن التحديث.
كيف تحمي برمجينا / Imunify360 موقعك؟
جدار Imunify360 على مستوى السيرفر يتضمن ترقيعًا افتراضيًا (virtual patch) لـ CVE-2026-102435. يتعرّف على الطلبات الخبيثة ويمنعها قبل أن تتعامل معها الإضافة المتأثرة—فلا يُعاد بناء الكائن الخطير ولا تُحذف الملفات عبر مسار الهجوم هذا.
مهم: قاعدة الـ WAF تمنع الهجوم؛ وهي لا تحدّث الإضافة بدلًا عنك. حافظ على Ultra Addons وContact Form 7 محدَّثين.
ماذا تفعل على موقع ووردبريس؟
- حدّث Ultra Addons for Contact Form 7 إلى 3.5.55 أو أحدث.
- حدّث Contact Form 7 إلى أحدث إصدار (6.1.1 أو أحدث يقلل مسار السيطرة عبر
wp-config.php). - إن تعذّر تحديث Ultra Addons فورًا، عطّل إضافة PDF Generator حتى تستطيع التحديث—هذا يزيل التعرض لهذه الثغرة.
- بعد التحديث، تأكد أن النماذج التي تحتاج PDF ما زالت تعمل كما تتوقع.
يمكنك التحديث من لوحة ووردبريس ← الإضافات، أو تواصل مع دعم برمجينا إن احتجت مساعدة للتحقق من موقع على حساب استضافتك.
قائمة سريعة
| الحالة | المعنى |
|---|---|
| Ultra Addons ≤ 3.5.54 مع استخدام PDF Generator | حدّث الآن (أو عطّل PDF Generator مؤقتًا) |
| Ultra Addons 3.5.55+ | مصلحة لهذه الثغرة—وأبقِ Contact Form 7 محدّثًا |
| استضافة برمجينا مع Imunify360 WAF | محاولات الاستغلال المعروفة تُمنع؛ حدّث الإضافات رغم ذلك |
الخلاصة
CVE-2026-102435 ثغرة حرجة في Ultra Addons for Contact Form 7 عند تفعيل توليد PDF. Imunify360 على خوادم برمجينا يمنع حركة الاستغلال المعروفة، لكن الإصلاح الدائم هو تحديث Ultra Addons إلى 3.5.55+ والإبقاء على Contact Form 7 محدّثًا.
المصدر / قراءة إضافية: Imunify360: blocks exploits for Contact Form 7 CVE-2026-102435.
