Angus Girvan

يحتوي المكون الإضافي Loco Translate لـ WordPress على ثغرة في اجتياز المسار. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المترجم أو أعلى (مما يتطلب صلاحية `loco admin`) قراءة ملفات `.php` و`.js` و`.json` و`.twig` التعسفية من نظام ملفات الخادم، باستثناء ملف `wp-config.php`. يحدث هذا لأن الدالة `findSourceFile()` تفشل في التحقق من أن المسار الذي تم تحليله يظل ضمن الدليل المقصود عند معالجة المتغير `ref` عبر مسار AJAX ’fsReference‘، مما يسمح باستخدام تسلسلات `../` للوصول إلى الملفات خارج دليل الترجمة.

يؤدي عدم كفاية التحقق من صحة مسار الملف في الدالة `ajax attach file()` إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بأدوار منحها لهم المسؤول، مثل «المشترك» (Subscriber)، من قراءة أو حذف ملفات عشوائية على الخادم. قد تؤدي قراءة الملفات إلى الكشف عن معلومات حساسة، في حين أن حذف ملفات مثل «wp-config.php» قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

يحتوي المكون الإضافي Elementor Website Builder الخاص بـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى المعلومات الحساسة. ويرجع السبب في ذلك إلى خطأ في فحص الأذونات في الدالة `is allowed to read template()`، والتي تسمح بشكل غير صحيح بقراءة القوالب غير المنشورة دون التحقق بشكل صحيح من صلاحية التحرير. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى قراءة محتوى قوالب Elementor الخاصة أو المسودات من خلال التلاعب بالمعلمة `template id` ضمن الإجراء `get template data` لنقطة النهاية `elementor ajax`.

المكوّن الإضافي WP DSGVO Tools (GDPR) لـ WordPress معرض لخطر إتلاف الحسابات دون إذن. تسمح عملية AJAX المسماة `super-unsubscribe` للمستخدمين غير المصادق عليهم بتجاوز عملية تأكيد البريد الإلكتروني وتشغيل إخفاء هوية الحساب بشكل فوري لا رجعة فيه، وذلك عن طريق إرسال عنوان البريد الإلكتروني للضحية مع تعيين المعلمة `process now` على القيمة 1. ويؤدي ذلك إلى تغيير كلمة المرور عشوائياً، والكتابة فوق اسم المستخدم/البريد الإلكتروني، وإزالة الأدوار، وإخفاء هوية التعليقات، ومسح البيانات الوصفية الحساسة للمستخدم. الرقم العشوائي (nonce) المطلوب للطلب متاح للجميع على أي صفحة تحتوي على الرمز المختصر `[unsubscribe form]`. المعلمة المعرضة للخطر هي `process now`. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي إجراء AJAX المسمى `super-unsubscribe`.

يحتوي المكون الإضافي Restrict Content لـ WordPress على ثغرة تسمح بتصعيد الصلاحيات دون إذن. تعالج الدالة `rcp setup registration init()` المعلمة POST `rcp level` بشكل غير صحيح، حيث لا تتحقق من نشاط مستوى العضوية أو متطلبات الدفع. وهذا، إلى جانب طريقة `add user role()`، يسمح للمهاجمين بالتسجيل بأي مستوى عضوية، مما قد يتيح لهم الحصول على صلاحيات مميزة في WordPress، مثل «المسؤول»، أو تفعيل عمليات الفوترة للمستويات المدفوعة. تم تنفيذ تصحيح جزئي في الإصدار 3.2.18، لكن المشكلة استمرت حتى الإصدار 3.2.20، بما في ذلك.

يعاني المكون الإضافي weMail لـ WordPress من ثغرة تسمح بحذف النماذج دون إذن. تقوم الدالة `Forms::permission()` بالتحقق من صحة رأس `X-WP-Nonce` بشكل غير صحيح، مما يؤدي إلى الفشل في التحقق من صلاحيات المستخدم. يمكن للزوار غير المصادق عليهم الوصول إلى nonce REST عبر كائن JavaScript `weMail` في الصفحات التي تحتوي على نماذج weMail. وهذا يسمح لأي مستخدم غير مصادق عليه بحذف جميع نماذج weMail نهائيًا عن طريق الحصول على الرمز العشوائي من شفرة المصدر للصفحة وإرسال طلب DELETE إلى نقطة نهاية النماذج: `/wp-json/wemail/v1/forms`. المعلمة المعرضة للخطر هي رأس `X-WP-Nonce`.

المكوّن الإضافي Shield Security لـ WordPress معرض لتعديل البيانات دون إذن. إن عدم وجود التحقق من الأذونات في الإجراء `MfaEmailDisable` يسمح للمهاجمين المصادق عليهم بمستوى وصول «مشترك» أو أعلى بتعطيل الإعداد العام للمصادقة الثنائية عبر البريد الإلكتروني للموقع بأكمله.

يحتوي المكوّن الإضافي Zarinpal Gateway for WooCommerce الخاص بـ WordPress على ثغرة أمنية تتمثل في «التحكم غير السليم في الوصول» عند تحديث حالة الدفع. لا يقوم معالج استدعاء الدفع `Return from ZarinPal Gateway` بالتحقق بشكل صحيح من صحة رمز التفويض (token) المقدم في عنوان URL الخاص بالاستدعاء، لضمان أنه ينتمي إلى الطلب المحدد الذي يتم وضع علامة «مدفوع» عليه. وهذا يسمح للمهاجمين غير المصادق عليهم بوضع علامة «مدفوع» على الطلبات دون إتمام عملية دفع شرعية، وذلك عن طريق إعادة استخدام رمز تفويض صالح من معاملة أخرى بنفس القيمة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Super Page Cache، الإصدارات الأقدم من 5.2.3 الوصف المكوّن الإضافي Super Page Cache لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع» المخزّن (XSS) من خلال سجل الأنشطة. يؤدي عدم كفاية تنقية المدخلات وعدم كفاية تصفية المخرجات إلى السماح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. وعندما يزور مستخدم صفحة تم حقنها، سيتم تنفيذ البرنامج النصي. التوصيات قم بتحديث Super Page Cache إلى الإصدار 5.2.3 أو أحدث.

يحتوي المكوّن الإضافي Ajax Load More لـ WordPress على ثغرة أمنية يتم فيها الوصول إلى البيانات دون رقابة كافية. وعلى وجه التحديد، لا تحتوي الدالة `parse custom args()` على إجراءات تحقق من الصلاحيات كافية. وهذا يسمح للمهاجمين غير المصادق عليهم بعرض عناوين ومقتطفات من المنشورات الخاصة أو المسودات أو المنشورات المعلقة أو المجدولة أو الموجودة في سلة المهملات.

يحتوي المكون الإضافي weMail لـ WordPress على ثغرة أمنية تتمثل في أن واجهة برمجة التطبيقات (API) REST تعتمد على رأس HTTP `x-wemail-user` لتعريف المستخدم دون التحقق من صحة جلسة عمل WordPress. وهذا يسمح للمهاجمين غير المصادق عليهم، الذين يتمكنون من تحديد عنوان البريد الإلكتروني لأحد المسؤولين (عبر نقطة النهاية `/wp-json/wp/v2/users`)، بالتصرف بصفته هذا المستخدم. يؤدي الاستغلال الناجح إلى منح الوصول إلى نقاط نهاية المشتركين في ملفات CSV، مما قد يؤدي إلى سرقة المعلومات الشخصية القابلة للتعريف (PII) مثل عناوين البريد الإلكتروني والأسماء وأرقام الهواتف الموجودة في ملفات CSV المستوردة.

المكوّن الإضافي Dokan لـ WordPress معرض لمشكلة ”الإشارة المباشرة إلى كائنات غير آمنة“. تنشأ هذه الثغرة عن عدم التحقق من صحة مفتاح يتحكم فيه المستخدم داخل نقطة نهاية واجهة برمجة التطبيقات (API) `/wp-json/dokan/v1/settings`. يمكن للمهاجمين المصادق عليهم الذين يمتلكون أذونات على مستوى العميل أو أعلى قراءة أو تعديل إعدادات المتجر الخاصة ببائعين آخرين. ويشمل ذلك البيانات الحساسة، مثل عناوين البريد الإلكتروني الخاصة بـ PayPal، وتفاصيل الحسابات المصرفية، وأرقام التوجيه، وأرقام IBAN، ورموز SWIFT، وأرقام الهواتف، والعناوين. قد يسمح استغلال هذه الثغرة للمهاجمين بإعادة توجيه المدفوعات من السوق إلى حسابات تحت سيطرتهم، مما يؤدي إلى سرقة أموال. المعلمة المعرضة للخطر هي مفتاح يتحكم فيه المستخدم.

يتأثر المكون الإضافي Awesome Support لـ WordPress بثغرة تسمح بتجاوز التفويض. ويعود ذلك إلى عدم كفاية عمليات التحقق من الصلاحيات داخل الدالة `wpas do mr activate user`، التي لا تتحقق بشكل مناسب من أذونات المستخدم عند تعديل الوظائف. وهناك مشكلة تتعلق بإعادة استخدام الرقم العشوائي (nonce)، حيث تكون الأرقام العشوائية المخصصة للتسجيل العام صالحة أيضًا للإجراءات ذات الصلاحيات الخاصة، لأن جميع الإجراءات تشترك في نفس مساحة اسم الرقم العشوائي. يمكن لمهاجم غير معتمد استغلال هذه الثغرة عن طريق إرسال طلب إلى الإجراء ’wpas-do=mr activate user‘ مع معلمة `user id` يتحكم فيها المستخدم، شريطة أن يكون لديه وصول إلى رقم عشوائي صالح من صفحة التسجيل العامة أو صفحة إرسال التذاكر. وهذا يسمح له بتخفيض صلاحيات المسؤولين إلى وظائف ذات امتيازات أقل.

المكوّن الإضافي Booking Calendar لـ WordPress معرض لمشكلة في التفويض قد تؤدي إلى الكشف عن معلومات حساسة. يمكن للمهاجمين الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى الاطلاع على جميع سجلات الحجوزات في قاعدة البيانات. ويشمل ذلك المعلومات الشخصية القابلة للتعريف (PII)، مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف والعناوين الفعلية وحالة الدفع وتكاليف الحجوزات ورموز التجزئة الخاصة بالحجوزات التي تخص مستخدمين آخرين.

المكوّن الإضافي «Drag and Drop Multiple File Upload for Contact Form 7» لـ WordPress معرض لتعديل البيانات دون إذن. ويرجع ذلك إلى عدم وجود تحقق من الملكية في الدالة `dnd codedropz upload delete()`. وهذا يسمح للمهاجمين غير المصادق عليهم بحذف ملفات محملة عشوائية عند تفعيل الإعداد «إرسال المرفقات كروابط».

المكوّن الإضافي WP-Members Membership الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن من خلال حقول الملف الشخصي للمستخدم «Multiple Checkbox» و«Multiple Select». تسمح عملية التنقية غير الكافية للمدخلات والهروب غير الكافي للمخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى بإدخال نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم إدخال النص البرمجي فيها.

يُعتبر «Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin» الخاص بـ WordPress عرضة لثغرة أمنية تتمثل في حقن SQL أعمى. ويرجع ذلك إلى عدم معالجة المعلمات التي يقدمها المستخدم بشكل صحيح، بالإضافة إلى عدم إعداد استعلامات SQL الحالية بشكل كافٍ. وعلى وجه التحديد، فإن المعلمتين `order` و`append where sql` معرضتان للخطر. وهذا يسمح للمهاجمين غير المصادق عليهم بإضافة استعلامات SQL إضافية إلى الاستعلامات الحالية، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Brevo for WooCommerce حتى الإصدار 4.0.49 ضمناً الوصف المكوّن الإضافي Brevo for WooCommerce الخاص بـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) عبر المعلمة `user connection id`. تؤدي عملية التنقية غير الكافية للمدخلات والهروب غير الكافي للمخرجات إلى السماح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها. التوصيات قم بتحديث Brevo for WooCommerce إلى إصدار أحدث من 4.0.49.

المكوّن الإضافي Customer Reviews for WooCommerce لـ WordPress معرض لثغرة «Cross-Site Scripting Armazenado» (تخزين البرمجة النصية عبر المواقع) عبر المعلمة `displayName`. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى العميل أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها. على الرغم من أن استدعاء إجراء AJAX يتطلب عادةً المصادقة، إلا أنه من المحتمل أن يتمكن المهاجم من التحايل على هذا الشرط إذا تم تمكين «الدفع كضيف» (checkout de convidado) وتم الحصول على معرّف نموذج صالح عند إجراء طلب.

يحتوي المكون الإضافي User Activity Log على مشكلة تتمثل في أن معالج أخطاء تسجيل الدخول `ual shook wp login failed` لا يقوم بإجراء فحص للأذونات. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل خيارات الموقع باستخدام استدعاءات `update option()`. وعلى وجه التحديد، يمكن للمهاجمين تغيير الخيارات من 0 إلى قيمة غير صفرية، مما قد يؤدي إلى إعادة فتح التسجيل للمستخدمين أو إتلاف خيارات مثل `wp user roles`، وهو ما قد يعطل الوصول إلى واجهة wp-admin.