Brian Mungai

**Name of the Vulnerable Software and Affected Versions** WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels versions prior to 5.0.3 **Description** An Insecure Direct Object Reference exists in the guest `print document from the mail link` handler dispatched from `print window()` on init. The issue occurs because the handler authorizes access to printable documents if the base64-encoded `email` parameter matches the order's billing email, which is a non-secret identifier, rather than requiring the WooCommerce `order key`. When the site is configured to allow guest access to documents (where `wt pklist print button access for` is not set to `logged in`), unauthenticated attackers can retrieve sensitive customer information—including names, billing and shipping addresses, phone numbers, purchased products, prices, taxes, and invoice metadata—by providing the target order ID and the associated billing email address. **Recommendations** Update to a version newer than 5.0.2. As a temporary mitigation, set the `wt pklist print button access for` configuration to `logged in` to restrict document access to authenticated users.

**Name of the Vulnerable Software and Affected Versions** BuddyPress versions prior to 14.3.4 **Description** An Insecure Direct Object Reference (IDOR) exists in the BuddyPress plugin for WordPress. This issue occurs within the `bp notifications action bulk manage` function due to missing validation on a user-controlled key. Authenticated attackers with Subscriber-level access or higher can exploit this to delete, mark as read, or mark as unread notifications belonging to other users. **Recommendations** Update BuddyPress to version 14.3.4 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Asgaros Forum لـ WordPress، الإصدارات الأقدم من 3.2.2 **الوصف** البرنامج معرض لخطر تزوير الطلبات عبر المواقع (CSRF). ويعود السبب في ذلك إلى عدم التحقق من صحة الرقم العشوائي (nonce) داخل الدالة `set subscription level()`. يمكن لمهاجم غير معتمد أن يقوم بتعديل إعدادات الاشتراك للمستخدمين المسجلين الدخول، عن طريق خداعهم للقيام بإجراء ما، مثل النقر على رابط ضار. **التوصيات** قم بالتحديث إلى الإصدار 3.2.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي EventPrime – Events Calendar, Bookings and Tickets لـ WordPress، الإصدارات حتى الإصدار 4.2.0.0 بما في ذلك **الوصف** المكوّن الإضافي EventPrime – Events Calendar, Bookings and Tickets لـ WordPress معرض لخطر إنشاء ملاحظات حجز غير مصرح بها. ويحدث ذلك بسبب عدم وجود فحص للسعة في الدالة `booking add notes()`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى إضافة ملاحظة إلى عرض الواجهة الخلفية لأي حجز. **التوصيات** قم بتحديث المكون الإضافي EventPrime – Events Calendar, Bookings and Tickets لـ WordPress إلى إصدار أعلى من 4.2.0.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي bbPress لـ WordPress في الإصدارات الأقدم من 2.6.12 **الوصف** تتعلق المشكلة بتزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة `bbp user add role on register()`. وهذا يسمح للمهاجمين غير المصادق عليهم برفع امتيازاتهم إلى مستوى «Keymaster» في bbPress، من خلال حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط. يتم التخفيف من هذه الثغرة الأمنية عن طريق إزالة إمكانية اختيار الدور أثناء التسجيل، بدلاً من تنفيذ التحقق من «nonce». **التوصيات** بالنسبة للإصدارات الأقدم من 2.6.12، قم بالتحديث إلى الإصدار 2.6.12 أو أحدث، والذي لم يعد يسمح باختيار الدور أثناء التسجيل، مما يحد من المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Wp Social Login and Register Social Counter لـ WordPress، حتى الإصدار 3.1.0 بما في ذلك **الوصف** تتعلق المشكلة بـ «التزوير بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة `counter access key setup()`. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث إعدادات مزود تسجيل الدخول الاجتماعي عن طريق حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط. **التوصيات** بالنسبة للمكوّن الإضافي Wp Social Login and Register Social Counter لـ WordPress حتى الإصدار 3.1.0 ضمناً، يُنصح بتعطيل الدالة `counter access key setup()` إلى أن يتوفر تصحيح لمنع استغلال الثغرة. قم بتقييد الوصول إلى إعدادات مزود تسجيل الدخول الاجتماعي لتقليل مخاطر التحديثات غير المصرح بها.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** المكوّن الإضافي Youzify – BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress، الإصدارات حتى 1.3.2 ضمناً **الوصف** تتعلق المشكلة بفقدان البيانات دون إذن بسبب عدم وجود فحص للصلاحيات في الدالتين `delete user review()` و`delete review()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحذف تقييمات المستخدمين الآخرين. **التوصيات** بالنسبة للإصدارات حتى 1.3.2 ضمناً، يُنصح بتعطيل الدالتين `delete user review()` و`delete review()` إلى أن يتوفر تصحيح لمنع الحذف غير المصرح به لتقييمات المستخدمين. قم بتقييد الوصول إلى هاتين الدالتين لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** User Profile Builder – مكون إضافي لنماذج تسجيل المستخدمين وملفات تعريف المستخدمين ومحرر أدوار المستخدمين لـ WordPress، الإصدارات حتى الإصدار 3.12.9 بما في ذلك **الوصف** تتعلق المشكلة بـ «البرمجة النصية عبر المواقع» (XSS) المخزنة، والتي تحدث بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات لعدة معلمات من بيانات تعريف المستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى صفحة تم حقنها وينقر على رابط لعرض بيانات تعريف المستخدم. **التوصيات** بالنسبة للإصدارات حتى الإصدار 3.12.9 ضمناً، قم بالتحديث إلى إصدار أعلى من 3.12.9 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى معلمات البيانات الوصفية للمستخدم حتى يتوفر تصحيح.