ثغرة حرجة في إضافة SimpleForm لـWordPress وإصدار 3.11.0 لإصلاحها
الثغرة CVE-2026-118235 المصنفة 9.8 على مقياس CVSS 3.1 تتيح لمهاجم غير مصادق عليه رفع ملفات ممنوعة إلى الخادم.
كُشف في 31 أكتوبر 2026 عن ثغرة حرجة في إضافة بناء النماذج SimpleForm الخاصة بـWordPress، مسجّلة تحت المعرّف CVE-2026-118235 وبتقييم 9.8 على مقياس CVSS 3.1، حسب dailysecu.com. وأصدر مطوّرو الإضافة في الوقت نفسه النسخة 3.11.0 التي تعالج المشكلة.
تؤثر الثغرة في إصدارات SimpleForm 3.10.2 وما دونها، وتتيح لمهاجم غير مصادق عليه رفع أنواع ملفات ممنوعة إلى الخادم.
وأوضح المصدر أن نجاح استغلال الثغرة قد يفضي إلى تنفيذ تعليمات برمجية عن بُعد، أو تشويه الموقع، أو سرقة بيانات شخصية، أو تثبيت برمجيات خبيثة، وذلك بحسب إعدادات الخادم.
وتتضمن النسخة 3.11.0 تحققًا أقوى من أنواع الملفات وحماية لدليل الرفع، وفق ما أعلنه مطوّرو الإضافة.
ما الذي يتغير في 3.11.0
على مشغّلي المواقع الذين يستخدمون الإضافة التحقق من رقم إصدارها والتحديث إلى 3.11.0 أو أحدث إذا كانوا لا يزالون على 3.10.2 أو ما دونها.
أسئلة سريعة
ما هي الثغرة CVE-2026-118235؟
ثغرة حرجة في إضافة SimpleForm لـWordPress بتقييم 9.8 على مقياس CVSS 3.1، تتيح لمهاجم غير مصادق عليه رفع أنواع ملفات ممنوعة إلى الخادم.
ما الإصدارات المتأثرة من SimpleForm؟
الإصدارات 3.10.2 وما دونها.
ما الإصدار الذي يعالج الثغرة؟
النسخة 3.11.0 التي تتضمن تحققًا أقوى من أنواع الملفات وحماية لدليل الرفع.