0Xbassia

The User Profile Builder WordPress plugin before 4.0.1 does not escape the current page URL before outputting it in a JavaScript context on one of its admin pages, leading to Reflected Cross-Site Scripting against high-privilege users.

**Name of the Vulnerable Software and Affected Versions** Ghost versions 1.18.0 through 6.26.0 **Description** A Server-Side Request Forgery (SSRF) issue exists in the webhooks feature. This allows staff users to probe internal hosts from the Ghost server. SSRF is a flaw that allows an attacker to induce the server-side application to make requests to an unintended location. **Recommendations** Update to version 6.27.0.

**Name of the Vulnerable Software and Affected Versions** Ghost versions 1.18.0 through 6.26.0 **Description** A server-side request forgery (SSRF) issue exists in the webhooks feature. This allows users with staff privileges to craft requests that enable the Ghost server to probe and access internal network resources. **Recommendations** Update Ghost to version 6.27.0 or later.

The advanced-customized-prompts WordPress plugin through 1.0.1 does not perform any capability, ownership, or nonce check before updating WooCommerce order item metadata for a supplied order, allowing any authenticated user such as a subscriber to tamper with the custom metadata of orders belonging to other customers.

The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not verify a user's password before authenticating them, allowing unauthenticated attackers to log in as any registered user, including administrators, by supplying only that user's email address.

**Name of the Vulnerable Software and Affected Versions** teddy-bear-customize-addon WordPress plugin versions prior to 1.0.6 **Description** The plugin fails to properly validate uploaded files by relying on a client-supplied content type and preserving the original filename. This allows unauthenticated attackers to upload arbitrary PHP files and execute code on the server. **Recommendations** Update the teddy-bear-customize-addon WordPress plugin to version 1.0.6 or later.

The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not perform any authorization or ownership checks before returning WooCommerce order metadata and the URLs of customer-uploaded attachments, allowing unauthenticated attackers to disclose other customers' order and attachment data.

The advanced-customized-prompts WordPress plugin through 1.0.1 does not verify the password before issuing an authenticated session for a supplied email address in an unauthenticated action, allowing unauthenticated attackers to log in as any registered user, including administrators, or to create arbitrary new accounts.

The advanced-customized-prompts WordPress plugin through 1.0.1 does not perform any capability, ownership, or nonce check before saving popup configuration to a product, nor escape the stored values on output, allowing any authenticated user such as a subscriber to store JavaScript that executes in the browser of visitors viewing the affected product.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Authora: Easy login with mobile number، الإصدارات الأقدم من 1.7.7 **الوصف** يفشل المكون الإضافي في الحفاظ على سرية رمز تسجيل الدخول لمرة واحدة. فهو يعرض الرمز ورمز التحقق الصالح في استجابة إجراء غير مصدق. وهذا يسمح للمهاجمين غير المصدقين بتسجيل الدخول كأي مستخدم، بما في ذلك المسؤولون، شريطة معرفتهم برقم الهاتف المحمول المسجل، أو إنشاء حسابات عشوائية. **التوصيات** تحديث Authora: تسجيل الدخول السهل برقم الهاتف المحمول إلى الإصدار 1.7.7 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Fediverse Embeds» لـ WordPress الأقدم من 1.5.8 **الوصف** تفشل نقطة نهاية غير مصدقة لتوجيه الوسائط في التحقق من صحة وجهة الطلبات من جانب الخادم. وهذا يسمح للمستخدمين المجهولين بإجبار الموقع على استرداد عناوين URL عشوائية، بما في ذلك عناوين الشبكات الداخلية والخاصة، وقراءة نص الاستجابة. تؤدي هذه المشكلة إلى تزوير طلبات من جانب الخادم (SSRF) مع إمكانية القراءة الكاملة، حيث يُجبر الخادم على إرسال طلبات إلى موقع غير مقصود، مما يؤدي إلى إنشاء وكيل مفتوح. **التوصيات** تحديث المكون الإضافي Fediverse Embeds لـ WordPress إلى الإصدار 1.5.8 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Fediverse Embeds» لـ WordPress الأقدم من الإصدار 1.5.8 **الوصف** تفشل نقطة نهاية «site-info» غير الخاضعة للمصادقة في التحقق من صحة وجهة الطلبات المرسلة من جانب الخادم. وهذا يسمح للمستخدمين المجهولين بتنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF)، وهي تقنية يقوم فيها المهاجم بحث تطبيق يعمل من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. من خلال استغلال رقم عشوائي (nonce) مكشوف على الصفحات العامة، يمكن للمهاجمين إجبار الموقع على طلب عناوين URL داخلية وتابعة للشبكة الخاصة واسترداد بيانات تعريف الصفحة التي تم تحليلها. **التوصيات** تحديث المكون الإضافي Fediverse Embeds لـ WordPress إلى الإصدار 1.5.8 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Schema & Structured Data for WP & AMP، الإصدارات الأقدم من 1.60 **الوصف** يفشل المكون الإضافي في التحقق من صلاحيات المستخدم ضمن معالجات تحميل الملفات عبر AJAX في الواجهة الأمامية، ولا يتحقق من صحة المحتوى الفعلي للملفات التي تم تحميلها مقارنةً بنوع الوسائط المقصود لنقطة النهاية. وهذا يسمح للمستخدمين غير المصادق عليهم بتحميل أي نوع من الملفات التي تدعمها مكتبة وسائط WordPress عبر نقاط النهاية المخصصة خصيصًا لقبول الصور أو مقاطع الفيديو فقط. **التوصيات** قم بالتحديث إلى الإصدار 1.60 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NocoDB السابقة لـ 2026.04.1 **الوصف** تكشف نقاط النهاية العامة للعرض المشترك عن قيم من الأعمدة التي أخفاها مالك العرض عبر ثلاثة مسارات مستقلة. أولاً، تُرجع الدالة `groupBy` القيم الأولية لأي عمود مذكور في الطلب. ثانياً، تعمل مصفوفات التصفية والفرز على الأعمدة المخفية، مما يتيح الاستخراج البولياني الأعمى (وهي تقنية تُستخدم لاستنتاج البيانات من خلال مراقبة استجابة التطبيق للاستعلامات التي تتطلب إجابة بـ ”صحيح“ أو ”خطأ“). ثالثًا، تقبل قائمة البيانات ذات الصلة معرّفات أعمدة الارتباط التعسفية من الجداول الأخرى داخل نفس القاعدة. وهذا يسمح لأي شخص لديه معرّف UUID للعرض المشترك بتعداد قيم الأعمدة المخفية، أو تأكيد قيم الأعمدة المخفية من خلال مراقبة أعداد الصفوف، أو قراءة السجلات من الجداول غير ذات الصلة في نفس القاعدة دون مصادقة. **التوصيات** قم بالتحديث إلى الإصدار 2026.04.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MagicForm الأقدم من 0.1.4 **الوصف** يفشل المكون الإضافي MagicForm لـ WordPress في التحقق بشكل صحيح من أنواع الملفات التي يتم تحميلها عبر إجراء AJAX غير مصدق. يحدث هذا عندما تُترك قائمة الامتدادات المسموح بها لكل حقل في النموذج فارغة، مما يمكّن المهاجمين غير المصدقين من تحميل ملفات PHP وتنفيذ تعليمات برمجية عشوائية على الخادم. **التوصيات** قم بالتحديث إلى إصدار أحدث من 0.1.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات form-data-objectizer السابقة للإصدار 1.0.1 **الوصف** يفشل البرنامج في تصفية ` proto ` أو `constructor` أو `prototype` عند تحويل FormData إلى كائنات باستخدام مفاتيح النموذج ذات الترميز بين الأقواس. يمكن للمهاجم إرسال حقل نموذج HTTP واحد باسم يبدأ بـ ` proto [...]` لتغيير `Object.prototype`، مما يؤدي إلى تلوث النموذج الأولي عبر عملية Node.js بأكملها. يحدث هذا داخل الدالتين `treatInitial()` و`treatSecond()` في ملف `index.cjs`. يمكن استغلال هذه المشكلة لتجاوز الفحوصات الأمنية، أو إدخال قيم التكوين، أو تعطيل عرض القوالب، أو التسبب في رفض الخدمة عن طريق تعطيل عملية العامل. **التوصيات** قم بالتحديث إلى الإصدار 1.0.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات `parse-nested-form-data` الأقدم من 1.0.1 **الوصف** تقوم الدالة `parseFormData()` بمعالجة أسماء حقول FormData المكتوبة بين قوسين أو بالترميز النقطي وتحويلها إلى كائنات متداخلة دون تصفية مفاتيح الخصائص المحجوزة. يمكن للمهاجم استخدام اسم حقل FormData يبدأ بـ ` proto ` أو يحتوي على `. proto .` في منتصف المسار لإجبار المحلل على الانتقال إلى `Object.prototype` وتعيين خصائص هناك. ينتج عن ذلك تلوث النموذج الأولي (prototype pollution)، حيث تتلوث سلسلة النماذج الأولية لكل كائن عادي في العملية قيد التشغيل. تكمن المشكلة في الدالة `handlePathPart()` الموجودة في ملف `src/index.ts`، والتي تفشل في رفض المفاتيح المحجوزة أثناء معالجة مقطع المسار من نوع الكائن. قد يؤدي ذلك إلى تلف حالة التطبيق، أو تغيير تدفق التحكم، أو رفض الخدمة في التطبيقات التي تعالج FormData التي يتحكم فيها المهاجم، مثل خوادم HTTP. **التوصيات** قم بالتحديث إلى الإصدار 1.0.1. كحل مؤقت، تحقق من صحة أسماء الحقول للتأكد من أنها لا تحتوي على ` proto ` أو `constructor` أو `prototype` قبل استدعاء الدالة `parseFormData()`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات deepobj الأقدم من 1.0.3 **الوصف** يحدث «تلوث النموذج الأولي» (prototype pollution) عندما تحتوي مسارات الخصائص على ` proto ` أو `constructor` أو `prototype`. تنشأ هذه المشكلة عندما يتم الكشف عن مسارات الخصائص كمدخلات من المستخدم، مما يسمح للمهاجم بتعديل النموذج الأولي لفئات الكائنات الأساسية. **التوصيات** التحديث إلى الإصدار 1.0.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات RVF من 6.0.0 إلى 6.0.3 إصدارات RVF من 7.0.0 إلى 7.0.1 **الوصف** تفشل الدالة `setPath` الموجودة في `@rvf/set-get` (التي يستخدمها `@rvf/core` لتسوية بيانات النماذج الواردة إلى كائن متداخل) في حظر المفاتيح ` proto ` أو `constructor` أو `prototype` عند تتبع المسار. نظرًا لأن أسماء الحقول في بيانات النموذج المرسلة تُمرر مباشرةً إلى `setPath` عبر `preprocessFormData` (ومن خلال `parseFormData` أو `validate`)، يمكن للمهاجم تعيين خصائص عشوائية على `Object.prototype` لعملية الخادم قيد التشغيل. يُعد هذا ثغرة «تلوث النموذج الأولي» (prototype pollution) — وهي حالة يمكن للمهاجم فيها التلاعب بالنموذج الأولي للكائنات الأساسية لتغيير سلوك التطبيق — وهي ثغرة يمكن الوصول إليها افتراضيًا دون الحاجة إلى تكوين خاص. تتأثر أي نقطة نهاية تقبل نموذجًا عبر `parseFormData` أو تُشغّل أداة التحقق من الصحة التي تم إنشاؤها باستخدام `createValidator()`. وقد يؤدي ذلك إلى تجاوز الفحوصات الأمنية، أو إدخال قيم تكوين غير مقصودة، أو تعطيل عرض القوالب، أو التسبب في رفض الخدمة عن طريق تعطيل عملية العامل. **التوصيات** قم بتحديث إصدارات RVF من 6.0.0 إلى 6.0.3 إلى الإصدار 6.0.4. قم بتحديث إصدارات RVF من 7.0.0 إلى 7.0.1 إلى الإصدار 7.0.2.