CVE-2026-3576

WordPress üçün olan Planyo Online Reservation System plagini 3.0 daxil olmaqla bütün versiyalarda Yerli Faylların Daxiletməsinə (Local File Inclusion) səbəb olan Server Tərəfli Sorğu Saxtakarlığına (Server-Side Request Forgery) qarşı həssasdır. ulap.php faylı AJAX proksisi kimi çıxış edir və WordPress-in yüklənməsi və ya hər hansı autentifikasiya olmadan birbaşa əlçatandır. send_http_post() funksiyası təqdim edilən URL-in hostunu 'localhost'-u ehtiva edən icazə siyahısına (allowlist) əsasən yoxlayır, lakin kritik şəkildə URL sxemini/protokolunu yoxlamağı unudur. Bu, autentifikasiya olunmamış hücumçulara file:// URL-i (məsələn, file://localhost/etc/passwd) təqdim etməyə imkan verir ki, bu da host icazə siyahısı yoxlamasını yan keçir, çünki parse_url() host olaraq 'localhost'-u qaytarır. Daha sonra URL, hər ikisi file:// protokolunu dəstəkləyən curl_init() və ya fopen() funksiyalarına ötürülür və bu, hücumçuya serverdəki istənilən yerli faylları oxumağa və onların məzmununun HTTP cavabında geri qaytarılmasına şərait yaradır. Bu, /etc/passwd, wp-config.php (verilənlər bazasının etibarnamələri və autentifikasiya açarlarını ehtiva edən) və digər server tərəfli həssas faylların ifşasına səbəb ola bilər.