Bashu

يؤدي عدم كفاية التحقق من صحة البيانات إلى السماح للمهاجمين غير المصادق عليهم بالاستيلاء على أي حساب WordPress، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول. تحدث المشكلة داخل الدالة `wpm register()`، التي تتحقق من صحة ملف تعريف الارتباط الخاص بالتسجيل فقط مقابل معلمة GET `reg`، لكنها تفشل في التحقق من أن معلمة POST `mergewith` تشير إلى مسجل مؤقت أو غير مكتمل مرتبط بالمعاملة الحالية. من خلال توفير معرّف مستخدم عشوائي في المعلمة `mergewith`، يمكن للمهاجم تشغيل الدالة `wp update user()` لتغيير اسم المستخدم وكلمة المرور والبريد الإلكتروني والاسم للحساب المستهدف بقيم يتحكم فيها المهاجم. علاوة على ذلك، يتم إخفاء إشعارات تغيير كلمة المرور والبريد الإلكتروني. إذا كانت المعلمة POST `wpm id` تشير إلى مستوى عضوية غير موجود، يتم الحفاظ على الدور الحالي للمستخدم المستهدف، مما يؤدي إلى تصعيد كامل للامتيازات.

توجد مشكلة تتعلق بتحميل الملفات بشكل تعسفي بسبب عدم وجود التحقق من الصلاحية والتحقق من رقم التشفير (nonce) في الدالة `eco save settings()`. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المشترك“ أو أعلى بتعديل إعداد قائمة السماح بالتحميل `tc eco custom file types`. وعند اقتران ذلك بعدم كفاية التفويض في إجراء AJAX `wc eco upload file`، يمكن للمهاجمين تمكين عمليات التحميل بلغة PHP وتحميل ملف PHP باستخدام الرمز العشوائي للتحميل في الواجهة الأمامية الموجود في صفحات سلة التسوق والدفع، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

يمكن للمهاجمين غير المصادق عليهم تنفيذ هجوم حقن SQL عن طريق التلاعب بالمعلمات `id` و`table` داخل ملف JSON الخاص بعربة التسوق الذي تم تحميله. تحدث هذه المشكلة أثناء معالجة إجراء AJAX الخاص بالدفع في الدالة `find resource()`، حيث يتم إلحاق المعلمات التي يقدمها المستخدم باستعلام SQL خام دون إجراء عملية هروب كافية. وعلى وجه التحديد، يتم إدراج الحقل `id` دون علامات اقتباس في جملة WHERE، ويتم إدراج الحقل `table` في جملة FROM، متجاوزًا بذلك إجراءات الحماية مثل `wp magic quotes` أو `$wpdb->prepare()`. وهذا يسمح بتنفيذ استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات.

المكوّن الإضافي LatePoint – Calendar Booking Plugin for Appointments and Events الخاص بـ WordPress معرض لخطر تصعيد الصلاحيات من خلال ثغرة في وظيفة إعادة تعيين كلمة المرور. تنبع المشكلة من سماح المكون الإضافي للمستخدمين الذين يحملون دور «وكيل LatePoint» (LatePoint Agent)، عند إنشاء عملاء جدد، بتعيين الحقل `wordpress user id`. وهذا يسمح للمهاجمين المصادق عليهم الذين يمتلكون وصولاً على مستوى «وكيل» أو أعلى بالحصول على امتيازات عالية من خلال ربط عميل بمعرف مستخدم تعسفي، بما في ذلك المحتمل أن يكون من بينهم المسؤولون، ومن ثم إعادة تعيين كلمة المرور. يُستخدم الحقل `wordpress user id` لربط عميل بحساب مستخدم WordPress.

المكوّن الإضافي Product Table and List Builder for WooCommerce Lite الخاص بـ WordPress معرض لخطر حقن SQL القائم على الوقت. ويرجع ذلك إلى عدم معالجة المدخلات التي يقدمها المستخدم في المعلمة `search` بشكل صحيح، بالإضافة إلى عدم إعداد استعلام SQL الحالي بشكل كافٍ. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL إضافية في الاستعلامات الحالية، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

المكوّن الإضافي SiteOrigin Widgets Bundle لـ WordPress معرض لتنفيذ رموز قصيرة (shortcodes) تعسفي وغير مصرح به. ويرجع السبب في ذلك إلى عدم وجود تحقق من الصلاحيات داخل الدالة `siteorigin widget preview widget action()`، والتي يتم تسجيلها عبر إجراء AJAX `wp ajax so widgets preview`. تتحقق الدالة من وجود رقم عشوائي (nonce) (`widgets action`)، لكنها لا تتحقق من صلاحيات المستخدم، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتنفيذ أكواد قصيرة تعسفية. يتم الكشف عن الرقم العشوائي المطلوب في الواجهة الأمامية العامة عند وجود عنصر واجهة المستخدم «Post Carousel» في إحدى الصفحات، حيث يتم تضمينه داخل سمة HTML `data-ajax-url`. يمكن للمهاجمين استدعاء `SiteOrigin Widget Editor Widget` عبر نقطة نهاية المعاينة لاستغلال هذه الثغرة الأمنية.