CVE-2026-83627

WordPress üçün nəzərdə tutulmuş Hummingbird – Speed Optimization, Caching, Minify, Compress & CDN plagini 3.21.0 daxil olmaqla bütün versiyalarda core/modules/class-page-cache.php faylındakı log_msg() funksiyası vasitəsilə uzaqdan kodun icrasına (Remote Code Execution) qarşı həssasdır. Səhifə keşinin sazlama loqu wp-content/wphb-logs/page-caching-log.php ünvanına yazılır ki, bu da veb üzərindən birbaşa əlçatan olan və ön hissədəki '<?php die(); ?>' başlığı ilə qorunmalı olan PHP faylıdır. Həmin başlıq class_exists( 'Filesystem' ) tərəfindən idarə olunur, lakin class_exists() sətir arqumentlərini qlobal ad sahəsində (global namespace) axtardığı, sinif isə Hummingbird\Core\Filesystem olduğu üçün bu şərt heç vaxt ödənmir; buna görə də front-end sorğusu zamanı loq yaradıldıqda başlıq tamamilə buraxılır. Daha sonra get_cookies() funksiyası wphb_cache_ prefiksi ilə uyğunlaşan hər hansı kuki adını təmizləmədən (sanitization olmadan) həmin fayla yazır. Bu, autentifikasiya olunmamış hücumçulara tək bir anonim sorğu ilə loq faylına istənilən PHP kodunu yazmağa və faylı birbaşa çağırmaqla onu icra etməyə imkan verir ki, bu da tam uzaqdan kodun icrası ilə nəticələnir. Eksploytasiya üçün sayt administratorunun Page Caching funksiyasını Debug Log seçimi ilə (standart deyil) aktiv etmiş olması və loq faylının front-end sorğusu zamanı yaradılması tələb olunur — bu vəziyyət plagininki 'Clear logs' hərəkəti, hər hansı keş təmizləməsi və ya plagininki gündəlik loq rotasiyası cron işi vasitəsilə əldə edilə bilər ki, bu da mövcud loq faylından qoruyucu başlığı silə bilər.