Craig Smith

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Tiled Gallery Carousel Without JetPack» الأقدم من 3.2 **الوصف** يتعرض المكون الإضافي لهجوم «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `data-image-title`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Avada (Fusion) Builder لإصدارات WordPress السابقة للإصدار 3.15.3 **الوصف** يتعرض المكوّن الإضافي لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting أو XSS)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. ويحدث ذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل العديد من الرموز المختصرة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم، عادةً ما يكون مسؤولاً، بعرض صفحة تعرض بيانات مستخدم ديناميكية، مثل المعلومات الشخصية التي يتم استردادها عبر ميزة «البيانات الديناميكية» (Dynamic Data). **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.15.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Betheme السابقة للإصدار 28.5 **الوصف** تسمح سمة Betheme الخاصة بـ WordPress للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المؤلف أو أعلى بتحميل ملفات عشوائية، بما في ذلك نصوص PHP. يحدث هذا لأن الدالة `upload icons()` تنقل ملفات ZIP التي يتحكم فيها المستخدم وتفك ضغطها في دليل تحميل عام دون التحقق من أنواع الملفات المستخرجة. يمكن أن يؤدي هذا الخلل إلى تنفيذ تعليمات برمجية عن بُعد عبر مسار تحميل حزمة أيقونات Icons. **التوصيات** قم بالتحديث إلى إصدار أحدث من 28.4. كحل مؤقت، قم بتقييد الوصول إلى عملية تحميل حزمة أيقونات Icons للمستخدمين الذين يتمتعون بأذونات على مستوى المؤلف.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Betheme السابقة للإصدار 28.5 **الوصف** تسمح سمة Betheme الخاصة بـ WordPress للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بنقل أو حذف ملفات محلية عشوائية عبر استغلال ثغرة «اجتياز المسار». يحدث هذا لأن الدالة `upload icons()` تستخدم مسار تحميل يتحكم فيه المستخدم `mfn-icon-upload` في عملية نقل ملفات دون تقييدها بدليل التحميلات. **التوصيات** قم بالتحديث إلى إصدار أحدث من 28.4. كحل مؤقت، قم بتقييد الوصول إلى الدالة `upload icons()` للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP Carousel Free الأقدم من 2.7.11 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عندما يقرأ البرنامج النصي `fancybox-config.js` سمة `id` لحاوية الكاروسيل مباشرةً من DOM لإنشاء محدد jQuery دون تعقيم. إذا قام مستخدم يتمتع بحق وصول على مستوى «المساهم» (Contributor) أو أعلى بإنشاء كتلة HTML تحتوي على معرّف حاوية الكاروسيل غير صحيح، فإن التهيئة المخصصة تفشل، مما يتسبب في قيام مكتبة fancybox المدمجة (الإصدار 3.5.7) بعرض السمة `data-caption` ككود HTML خام. وهذا يسمح للمهاجمين المصادق عليهم بحقهم بإدخال نصوص برمجية ويب تعسفية يتم تنفيذها عندما ينقر المستخدم على صورة في نافذة عرض الكاروسيل المصممة خصيصًا. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.7.10.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات Livemesh لـ Elementor، الإصدارات الأقدم من 9.1 **الوصف** يتعرض المكون الإضافي لثغرة «تضمين الملفات المحلية» (Local File Inclusion) بسبب عدم كفاية عملية تنقية معلمة اسم القالب داخل الدالة `lae get template part()`. يستخدم التنفيذ طريقة `str replace()` غير ملائمة يمكن تجاوزها باستخدام أنماط اجتياز الدلائل التكرارية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بتضمين وتنفيذ ملفات محلية عشوائية على الخادم من خلال التلاعب بمعلمة القالب الخاصة بالقطعة. **التوصيات** تحديث المكون الإضافي إلى إصدار أحدث من 9.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Avada (Fusion) Builder الأقدم من 3.15.2 **الوصف** يسمح هذا المكون الإضافي للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى بتنفيذ «خطافات إجراءات» (action hooks) عشوائية في WordPress من خلال ميزة «البيانات الديناميكية» (Dynamic Data). يحدث ذلك لأن الدالة `output action hook()` تقبل مدخلات يتحكم فيها المستخدم لتشغيل خطافات إجراءات WordPress المسجلة دون إجراء فحوصات ترخيص مناسبة. يمكن أن يؤدي هذا الخلل إلى تصعيد الامتيازات، أو إدراج الملفات، أو رفض الخدمة، اعتمادًا على خطافات الإجراءات المتاحة في تثبيت WordPress. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.15.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Avada (Fusion) Builder الأقدم من 3.15.2 **الوصف** يحتوي المكون الإضافي على مشكلة تتعلق بكشف المعلومات الحساسة. لا تتحقق الدالة `fusion get post custom field()` مما إذا كانت مفاتيح البيانات الوصفية محمية ببادئة شرطة سفلية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى باستخراج حقول البيانات الوصفية المحمية للمنشورات من خلال المعلمة `post custom field` الخاصة بميزة Dynamic Data. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.15.1.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي «Element Pack Addons for Elementor» لـ WordPress حتى الإصدار 8.4.2 بما في ذلك الوصف المكوّن الإضافي «Element Pack Addons for Elementor» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال أداة عرض الصور SVG. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتشفير المخرجات لمحتوى SVG الذي يتم استرداده من عناوين URL البعيدة ضمن الدالة `render svg()`. تستخدم الدالة `wp safe remote get()` لجلب محتوى SVG ثم تقوم بعرضه مباشرةً دون تنقية مناسبة، حيث تكتفي بتطبيق دالة `preg replace()` لتعديل علامة SVG، وهو ما لا يزيل معالجات الأحداث الخبيثة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن جافا سكريبت تعسفي في ملفات SVG، والتي سيتم تنفيذها عندما يقوم المستخدم بعرض صفحة تحتوي على عنصر واجهة المستخدم المخترق. التوصيات بالنسبة للإصدارات حتى الإصدار 8.4.2 ضمناً، قم بالتحديث إلى إصدار أحدث يعالج هذه المشكلة. كحل مؤقت، تجنب استخدام أداة الصور SVG مع عناوين URL البعيدة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي wpForo Forum الخاص بـ WordPress حتى الإصدار 2.4.16 بما في ذلك الوصف يُعتبر المكون الإضافي wpForo Forum لـ WordPress عرضة لحذف الملفات بشكل تعسفي بسبب عدم وجود عملية التحقق من صحة اسم الملف/المسار لمواجهة تسلسلات اجتياز المسار. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى حذف ملفات تعسفية على الخادم عن طريق تضمين سلسلة مصممة خصيصًا لاجتياز المسار داخل نص منشور في المنتدى ثم حذف المنشور. التوصيات قم بتحديث المكون الإضافي wpForo Forum إلى إصدار أحدث من 2.4.16.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي «Xpro Addons — 140+ Widgets for Elementor» لـ WordPress حتى الإصدار 1.4.20 ضمناً الوصف المكوّن الإضافي «Xpro Addons — 140+ Widgets for Elementor» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال إعداد «onClick Event» في عنصر واجهة المستخدم الخاص بالأسعار. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب ضارة في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المخترقة. التوصيات قم بتحديث المكون الإضافي Xpro Addons — 140+ Widgets for Elementor الخاص بـ WordPress إلى إصدار أحدث من 1.4.20.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي «King Addons for Elementor» لـ WordPress حتى الإصدار 51.1.38 ضمناً الوصف المكوّن الإضافي «King Addons for Elementor» لـ WordPress معرض لعدة ثغرات أمنية من نوع «Contributor+ DOM-Based Stored Cross-Site Scripting». ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتشفير المخرجات عبر العديد من عناصر واجهة المستخدم والميزات. يستخدم المكون الإضافي دالتي `esc attr()` و`esc url()` ضمن معالجات الأحداث المضمنة في JavaScript (سمات onclick)، مما يسمح ب فك تشفير كيانات HTML بواسطة DOM، وبالتالي تمكين المهاجمين من الخروج من سياق JavaScript. تستخدم عدة ملفات JavaScript طرقًا غير آمنة لمعالجة DOM (القوالب الحرفية، و.html()، و`window.location.href` مع عناوين URL غير مصدقة) مع بيانات يتحكم فيها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية عبر إعدادات عناصر واجهة المستخدم في Elementor. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها أو عندما يقوم المسؤول بمعاينة الصفحة في محرر Elementor. التوصيات يجب تحديث الإصدارات حتى الإصدار 51.1.38 (بما في ذلك) إلى الإصدار 5.1.51 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** ملحق Sina Extension for Elementor حتى الإصدار 3.7.0 ضمناً **الوصف** يُعتبر المكون الإضافي «Sina Extension for Elementor» الخاص بـ WordPress عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting). ويحدث ذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في سمات DOM الخاصة بـ «Fancy Text Widget» و«Countdown Widget». يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية خبيثة في الصفحات. وستُنفَّذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المخترقة. **التوصيات** قم بتحديث المكون الإضافي «Sina Extension for Elementor» إلى إصدار أحدث من 3.7.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Apollo13 Framework Extensions لـ WordPress، الإصدارات حتى الإصدار 1.9.8 بما في ذلك **الوصف** البرنامج معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال المعلمة `a13 alt link`. تسمح عملية التنقية غير الكافية للمدخلات والهروب غير الكافي للمخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها. **التوصيات** قم بتحديث المكون الإضافي Apollo13 Framework Extensions إلى إصدار أحدث من 1.9.8.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي wpForo Forum لـ WordPress، الإصدارات الأقدم من 2.4.14 **الوصف** المكوّن الإضافي wpForo Forum لـ WordPress معرض لخطر «حقن كائن PHP» بسبب إزالة التسلسل من مدخلات غير موثوقة داخل الدالة `wpforo display array data`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى بحقن كائن PHP. تأثير هذه المشكلة محدود، ما لم يكن هناك مكون إضافي أو سمة أخرى تحتوي على سلسلة حمولة كائن PHP (POP) مثبتة على الموقع. في حالة وجود سلسلة POP، قد يتمكن المهاجم من القيام بأعمال مثل حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية. **التوصيات** قم بتحديث المكون الإضافي wpForo Forum إلى الإصدار 2.4.14 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WPZOOM Addons for Elementor – Starter Templates & Widgets، الإصدارات الأقدم من 1.3.3 **الوصف** يحتوي المكون الإضافي WPZOOM Addons for Elementor – Starter Templates & Widgets الخاص بـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى البيانات. ويرجع ذلك إلى عدم وجود فحص للصلاحيات في الدالة `ajax post grid load more`. يمكن لمهاجم غير معتمد استرداد عناوين ومقتطفات من المنشورات المحمية (المسودات، والمنشورات المستقبلية، والمنشورات المعلقة) التي لا ينبغي أن تكون متاحة للجمهور. **التوصيات** قم بتحديث المكون الإضافي WPZOOM Addons for Elementor – Starter Templates & Widgets إلى الإصدار 1.3.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** BlockArt Blocks – Gutenberg Blocks، Page Builder Blocks، WordPress Block Plugin، Sections & Template Library، الإصدارات حتى الإصدار 2.2.14 بما في ذلك **الوصف** المكوّن الإضافي BlockArt Blocks لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم إجراء التنقية المناسبة للمدخلات وإخراط المخرجات للسمات التي يقدمها المستخدم داخل BlockArt Counter. ويتيح الاستغلال الناجح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المخترقة. **التوصيات** قم بتحديث المكون الإضافي BlockArt Blocks – Gutenberg Blocks, Page Builder Blocks, WordPress Block Plugin, Sections & Template Library إلى إصدار أحدث من 2.2.14.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Nexter Extension – مجموعة أدوات تحسين المواقع لـ WordPress، الإصدارات حتى 4.4.6 **الوصف** المكوّن الإضافي Nexter Extension – مجموعة أدوات تحسين المواقع لـ WordPress معرض لثغرة حقن كائن PHP بسبب إزالة التسلسل من المدخلات غير الموثوق بها في الدالة `nxt unserialize replace`. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كائن PHP. يقتصر تأثير هذه المشكلة ما لم يكن هناك مكون إضافي أو سمة أخرى مثبتة تحتوي على سلسلة حمولة كائن PHP (POP). في حالة وجود سلسلة POP، يمكن للمهاجم القيام بأعمال مثل حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية. **التوصيات** يجب تحديث الإصدارات السابقة للإصدار 4.4.6، بما في ذلك هذا الإصدار.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Jeg Elementor Kit حتى الإصدار 3.0.1 بما في ذلك **الوصف** المكوّن الإضافي Jeg Elementor Kit لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) بسبب عدم تطهير المدخلات بشكل كافٍ في وظيفة إعادة التوجيه الخاصة بعنصر العد التنازلي. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى بحقن كود JavaScript تعسفي. سيتم تنفيذ الكود المحقون عندما يقوم مسؤول أو مستخدم آخر بعرض الصفحة التي تحتوي على عنصر العد التنازلي الخبيث. المكون المعرض للخطر هو عنصر العد التنازلي ووظيفة إعادة التوجيه الخاصة به. المعلمة المعرضة للخطر هي عنوان URL الخاص بإعادة التوجيه داخل أداة العد التنازلي. **التوصيات** قم بتحديث Jeg Elementor Kit إلى إصدار أحدث من 3.0.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** قالب Phlox لـ WordPress حتى الإصدار 2.17.7 **الوصف** يعد سمة Phlox لـ WordPress عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Cross-Site Scripting Armazenado) من خلال سمة HTML `data-caption`. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة. المعلمة المعرضة للخطر هي `data-caption`. **التوصيات** قم بتحديث سمة Phlox إلى إصدار أحدث من 2.17.7.