Abdullah Kareem

The WP Google Review Slider WordPress plugin before 18.11 does not perform nonce validation when updating its active Google Places configuration, allowing attackers to alter or destroy that configuration via a forged request, provided they can trick a site administrator into following a crafted link.

The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.

يفشل المكون الإضافي في تقييد الوصول إلى مفتاح واجهة برمجة تطبيقات (API key) لخدمة بريد إلكتروني خارجية على مستوى الموقع. يتم عرض هذه الاعتمادات الحساسة في شاشة مسؤول يمكن للمستخدمين الذين لديهم دور المحرر (Editor) الوصول إليها افتراضيًا. يمكن للمهاجم الذي يمتلك هذه الصلاحيات الحصول على المفتاح لانتحال شخصية مستخدمين آخرين وقطع اتصال الموقع بخدمة البريد الإلكتروني دون الحاجة إلى جلسة WordPress.

يمكن للمستخدمين المصرح لهم الذين لديهم صلاحية القراءة للمراكز أو جداول البيانات المستهدفة تنفيذ حقن SQL أعمى يعتمد على الوقت. يحدث هذا لأن التطبيق يقوم بدمج معاملات الترتيب التي يوفرها المستخدم مباشرة في جملة SQL ORDER BY، مما يتجاوز التحقق من المدخلات القائم على regex. نقاط نهاية API المتأثرة هي '/api/v1/centers' و '/api/v1/datatables/{datatable}/{apptableId}' و '/api/v1/datatables/{datatable}/{apptableId}/{datatableId}'. المعاملات المصابة هي `orderBy` و `sortOrder` و `order`.

يحدث حقن للقوالب من جهة الخادم في صندوق رمال رندرة سمات Twig. إن صندوق الرمل، المصمم لتقييد قوالب السمات التي يرفعها المستخدمون، لا يفرض القيود بشكل كامل، مما يسمح لقالب مصمم خصيصاً بالهروب من صندوق الرمل. يمكن للمستخدم المصرح له الذي يمتلك صلاحية `core:themes:create` رفع سمة خبيثة تؤدي عند رندرتها إلى تنفيذ رمز عشوائي على الخادم بصلاحيات عملية خادم الويب. يسمح هذا بتنفيذ أوامر نظام التشغيل، وقراءة ملفات من جهة الخادم بما في ذلك ملفات التكوين وبيانات اعتماد قاعدة البيانات، وكتابة الملفات، والوصول إلى الخدمات الداخلية.

يؤدي عدم تعقيم أو تصفية قيم تكوين المعرض قبل عرضها في نص برمجى مضمن (inline script) في كل صفحة تتضمن المعرض إلى السماح للمستخدمين الذين لديهم صلاحيات وصول بمستوى مساهم (contributor) أو أعلى بتخزين كود JavaScript يتم تنفيذه في متصفح أي شخص يشاهد المعرض، بما في ذلك المسؤولون.

Missing authorization in the module data retrieval process allows unauthorized cross-group access to module history.

The plugin fails to verify user capabilities before dispatching request handlers within its bundled admin framework. This allows users with subscriber-level accounts to access administrative pages and disclose stored settings.

An authorization check is missing in an AJAX action, which allows any authenticated user, including those with subscriber privileges, to retrieve the IDs and titles of unpublished lists belonging to other users.

An issue exists where the plugin fails to perform a capability check in an AJAX action. This allows any authenticated user, including those with subscriber-level privileges, to read the full content of unpublished recipes.

The Product XML Feed Manager for WooCommerce WordPress plugin fails to restrict the object methods that its product shortcode can call and does not verify the user's permissions regarding the targeted product. This allows users with contributor-level access to delete arbitrary WooCommerce products by previewing a post containing the shortcode.

يفشل المكون الإضافي في التحقق مما إذا كان المستخدم مصرحًا له بإعادة تسمية قائمة رغبات معينة بسبب فقدان فحص الصلاحيات في إحدى الدوال. يتيح ذلك للمستخدمين غير المصرح لهم إعادة تسمية أي قائمة رغبات على الموقع.

The plugin fails to restrict access to log files stored in a predictable location within the public uploads directory. When logging is enabled, unauthenticated users can download sensitive information, including customer order details and opt-in form submissions.

An authorization bypass occurs when retrieving order line-item data. This allows any authenticated user, including those with Subscriber roles, to access course sales records of other instructors by providing a different user's identifier.

An authorization check is missing before the plugin returns per-student course enrollment and progress data. This allows unauthenticated attackers to disclose the enrolled courses and learning progress of any registered user.

An issue exists where the plugin fails to verify the amount, receiver, currency, or status of a payment notification before marking an order as completed. This allows unauthenticated users to bypass payment requirements and gain access to paid content by paying only a token amount.

An authorization bypass exists in an administration-only feature of the AI Engine WordPress plugin. The system relies on a token provided to anonymous visitors instead of performing proper authorization checks. This allows unauthenticated attackers to execute arbitrary AI queries using the site owner's configured provider account.

توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق من عنوان البريد الإلكتروني الموجود ضمن رمز المصادقة قبل مطابقته بحساب WordPress وإصدار جلسة عمل. وهذا يسمح للمهاجمين غير المصادق عليهم بتسجيل الدخول بصفتهم أي مستخدم، بما في ذلك أولئك الذين يتمتعون بامتيازات المسؤول.

تسمح عمليات التحقق غير الكافية من الصلاحيات في بعض إجراءات AJAX للمستخدمين غير المصادق عليهم بتعديل عناوين البريد الإلكتروني لأي مستخدم، بما في ذلك أولئك الذين يتمتعون بامتيازات المسؤول. تتيح هذه الثغرة للمهاجم الاستيلاء على السيطرة على الحسابات من خلال استغلال عملية إعادة تعيين كلمة المرور.

تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Stored Cross-Site Scripting) بسبب فشل المكون الإضافي في تنقية صور التوقيعات التي تم تحميلها قبل تخزينها. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملف SVG مصمم خصيصًا يحتوي على JavaScript، والذي يتم تنفيذه عند عرض الملف.