تتعرض إضافة WooCommerce Wholesale Lead Capture لهجمات نشطة تستغل ثغرة أمنية خطيرة يمكن أن تسمح للمهاجمين برفع ملفات خبيثة، بما في ذلك ملفات PHP، وتنفيذ أوامر عن بُعد على خوادم مواقع WordPress.

تتعرض إضافة WooCommerce Wholesale Lead Capture لهجمات نشطة تستغل ثغرة أمنية خطيرة يمكن أن تسمح للمهاجمين برفع ملفات خبيثة، بما في ذلك ملفات PHP، وتنفيذ أوامر عن بُعد على خوادم مواقع WordPress.الثغرة مسجلة تحت الرقم CVE-2026-27540 وتحمل درجة خطورة 9.8 من 10، وتؤثر على جميع إصدارات الإضافة حتى الإصدار 2.0.3.1، بينما يتجاوز عدد المواقع التي تستخدمها 6 آلاف موقع.وقالت شركة Wordfence المتخصصة في أمن WordPress إنها رصدت أكثر من 100 ألف محاولة لاستغلال الثغرة منذ يونيو 2026، من بينها 99 محاولة خلال آخر 24 ساعة فقط.وتعود المشكلة إلى غياب التحقق الكافي من نوع الملفات التي يمكن رفعها من خلال وظيفة AJAX باسم "wwlc_file_upload_handler"، ما يسمح لمهاجم غير مسجل حتى برفع ملفات يختار محتواها بنفسه إلى الخادم.وفي الهجمات التي رصدتها Wordfence، أرسل المهاجمون طلبات مصممة خصيصًا إلى وظيفة الرفع، مع التلاعب بالمعامل "file_settings" ورفع ملف PHP خبيث باسم "shell.php". ويعمل الملف كـ Web Shell يمكن من خلاله جمع معلومات عن الخادم ورفع ملفات خبيثة إضافية إلى الموقع.وتوصي Wordfence أصحاب المواقع التي تستخدم الإضافة بفحص الخادم بحثًا عن ملفات PHP غير متوقعة أو تم إنشاؤها مؤخرًا، خصوصًا داخل مجلد uploads، بالإضافة إلى مراجعة الطلبات المشبوهة الموجهة إلى "/wp-admin/admin-ajax.php" والتي تستخدم "wwlc_file_upload_handler".وفي تطور آخر، كشفت Wordfence عن ثغرتين خطيرتين في إضافة The Events Calendar، التي تُستخدم على أكثر من 600 ألف موقع WordPress.الثغرة الأولى CVE-2026-78159 والثانية CVE-2026-78006، وتحمل كل منهما درجة خطورة 9.8، ويمكن استغلالهما في ظروف معينة للوصول إلى Remote Code Execution دون الحاجة إلى تسجيل الدخول.وتبدأ سلاسل الاستغلال من نظام عرض الـ Widgets داخل الإضافة، ويمكن أن تؤدي في إحدى الحالات إلى تنفيذ أوامر على الخادم من خلال PHP Object Injection، بينما تستغل السلسلة الأخرى طريقة مختلفة لتجاوز آلية الحماية ثم إعادة تعيين كلمة مرور حساب مسؤول، وبعدها يمكن للمهاجم رفع إضافة WordPress خبيثة والسيطرة الكاملة على الموقع.وأوضحت Wordfence أن الهجمات يمكن أن تبدأ من خلال معاينة تعليق قيد الانتظار دون الحاجة إلى موافقة المشرف، بشرط تفعيل التعليقات على صفحة الحدث وتفعيل خيار عرض التعليقات داخل صفحات الأحداث.وقد عالج مطورو The Events Calendar الثغرتين في الإصدارين 6.17.3.1 و6.17.4.1، لذلك يجب على مسؤولي المواقع التأكد من استخدام الإصدارات التي تتضمن الإصلاحات، مع مراجعة المواقع التي كانت تستخدم الإصدارات المتأثرة بحثًا عن أي نشاط غير معتاد.