Cyberkareem

**Name of the Vulnerable Software and Affected Versions** MStore API WordPress plugin versions prior to 4.22.1 **Description** The plugin fails to restrict which order fields a customer can update. This allows any authenticated user with a self-registerable account to modify the status of their own unpaid orders to a paid or fulfilled state, enabling them to obtain goods without payment. **Recommendations** Update MStore API WordPress plugin to version 4.22.1 or later.

**Name of the Vulnerable Software and Affected Versions** utcp-mcp versions prior to 1.1.3 **Description** The MCP plugin of python-utcp fails to apply `ensure secure url` validation when connecting to HTTP and WebSocket MCP server URLs defined in a call template's `mcpServers` configuration. This omission bypasses the HTTPS/WSS-or-loopback rule, allowing the software to establish cleartext connections to non-loopback internal hosts. Consequently, the MCP handshake is exposed to network interception. Because the `mcpServers` configuration is authored by the operator and the connection is limited to an MCP handshake, practical exploitation is constrained. **Recommendations** Update utcp-mcp to version 1.1.3.

**Name of the Vulnerable Software and Affected Versions** Eventin WordPress plugin versions prior to 4.1.24 **Description** An issue exists where the software fails to verify if a completed payment corresponds to the specific order it is applied to. The system only confirms that the payment gateway reports a successful transaction, without validating the amount, currency, or the associated order. This allows unauthenticated visitors to mark unpaid orders of any value as paid by replaying the transaction of a single genuine low-value payment. **Recommendations** Update Eventin WordPress plugin to version 4.1.24 or later.

**Name of the Vulnerable Software and Affected Versions** Openpanel versions prior to 2.3.0 **Description** An insecure direct object reference occurs in the `report.getLayouts` and `report.resetLayout` tRPC procedures. These procedures fail to bind the `dashboardId` to the authorized `projectId`, allowing authenticated attackers to provide an arbitrary victim `dashboardId` alongside their own `projectId`. This can lead to the unauthorized reading of report layouts and configurations or the deletion of dashboard grid arrangements across different tenants. **Recommendations** Update to version 2.3.0 or later.

**Name of the Vulnerable Software and Affected Versions** OpenPanel versions prior to 2.3.0 **Description** An unauthenticated server-side request forgery (SSRF) exists in the 'GET /tools/site-checker' endpoint. The issue occurs because the endpoint accepts a client-controlled `URL` parameter without implementing private IP filtering or DNS-rebinding protection. This allows attackers to force the server to send requests to internal services, localhost, and cloud metadata endpoints, enabling the retrieval of internal HTTP response titles, headers, status codes, and SSL certificate information. **Recommendations** Update to version 2.3.0 or later. Avoid using the `URL` parameter in the 'GET /tools/site-checker' endpoint until the update is applied.

**Name of the Vulnerable Software and Affected Versions** WPLP Cookie Consent versions prior to 4.4.2 **Description** Insufficient validation and escaping of a user-supplied pagination parameter allows authenticated users with administrator privileges to perform SQL injection attacks. This occurs because the parameter is used in a SQL query without sufficient preparation, enabling attackers to append additional queries to extract sensitive information from the database. **Recommendations** Update to version 4.4.2 or later.

**Name of the Vulnerable Software and Affected Versions** OpenPanel versions prior to 2.3.0 **Description** An issue exists in the unauthenticated favicon proxy endpoint 'GET /misc/favicon' that allows remote attackers to execute scripts by supplying an SVG file URL. Attackers can host malicious SVG files containing embedded scripts that execute in the victim's browser on the API origin, which enables same-origin credentialed requests to authenticated endpoints. Cross-site scripting is a technique where malicious scripts are injected into trusted websites. **Recommendations** Update to version 2.3.0 or later. As a temporary workaround, restrict access to the 'GET /misc/favicon' endpoint to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** WPvivid — Backup, Migration & Staging WordPress plugin versions prior to 0.9.133 **Description** Administrators can perform SQL injection attacks because the plugin fails to sanitize a user-supplied list of identifiers before incorporating them into a SQL query. SQL injection is a technique where malicious SQL statements are inserted into entry fields for execution, potentially allowing unauthorized access to or manipulation of the database. **Recommendations** Update the plugin to version 0.9.133 or later.

**Name of the Vulnerable Software and Affected Versions** TypeBot versions prior to 3.18.0 **Description** An issue exists where an authenticated non-guest workspace member can remove a public custom domain belonging to another workspace, rendering the chatbots on that domain unavailable. The custom-domain delete handler in `handleDeleteCustomDomain.ts` authorizes the caller based on a client-supplied `workspaceId` but transmits the client-supplied domain name to the shared Vercel project before verifying if the domain actually belongs to the specified workspace. **Recommendations** Update to version 3.18.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات vLLM الأقدم من 0.26.0 **الوصف** قد يتسبب الطلب غير المصادق عليه الموجه إلى نقطة النهاية ’/v1/completions‘ في حدوث هجوم رفض الخدمة (DoS) من خلال استهلاك نواة وحدة المعالجة المركزية (CPU) وتعطيل مسار محرك الإخراج المنظم. يحدث هذا لأن المعلمة `structured outputs.regex` الموجودة في الملف `vllm/v1/structured output/backend lm format enforcer.py` يتم تمريرها إلى `lmformatenforcer.RegexParser` داخل الدالة `validate structured output request lm format enforcer` دون إجراء التحقق من الصحة المناسب أو مهلة تجميع. وهذا يسمح باستخدام تعبير عادي كارثي، وهو نمط يتسبب في تأخيرات معالجة شديدة عند مطابقته مع سلاسل معينة. **التوصيات** قم بالتحديث إلى الإصدار 0.26.0. كإجراء تخفيفي مؤقت، تجنب استخدام المعلمة `structured outputs.regex` في نقطة النهاية ’/v1/completions‘.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات grav-plugin-api الأقدم من 1.0.6 **الوصف** يفشل البرنامج في التحقق من صحة صفة «المسؤول الأعلى» عبر نقاط النهاية «createApiKey» و«generate2fa» و«disable2fa». وهذا يسمح للمستخدمين الذين يمتلكون أذونات `api.users.write` والذين ليسوا من ”المسؤولين الفائقين“ برفع امتيازاتهم إلى حالة ”المسؤول الفائق“. يمكن للمهاجم استغلال هذا الثغرة لإنشاء مفاتيح API مرتبطة بحسابات ”المسؤولين الفائقين“ أو إزالة المصادقة الثنائية (2FA) من مستخدمي ”المسؤولين الفائقين“، مما يؤدي إلى الاستيلاء الكامل على المثيل. **التوصيات** تحديث grav-plugin-api إلى الإصدار 1.0.6 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Grav Flex-Objects الأقدم من 1.4.3 **الوصف** يوجد خلل في التحكم في الوصول في واجهة برمجة التطبيقات REST «admin-next». يمكن للمستخدمين المصادق عليهم الذين يمتلكون إذن «api.access» فقط تنفيذ عمليات CRUD (إنشاء، قراءة، تحديث، حذف) غير مصرح بها وتصدير كائنات من الدلائل التي تفتقر إلى تكوين صريح للأذونات، وبالتالي تجاوز ضوابط التفويض. **التوصيات** تحديث Grav Flex-Objects إلى الإصدار 1.4.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات grav-plugin-login الأقدم من 3.8.11 **الوصف** توجد مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في مهمة الواجهة الأمامية `login.regenerate2FASecret`. يقوم النظام بإعادة إنشاء سر جديد لكلمة المرور لمرة واحدة القائمة على الوقت (TOTP) وحفظه لمستخدم الجلسة المصادق عليه دون تنفيذ رقم عشوائي مضاد لـ CSRF أو فحوصات Origin/Referer. ونظرًا لأن نواة Grav ترسل المهمة عبر معلمة URI `task:` ويستخدم ملف تعريف الارتباط الافتراضي للجلسة SameSite=Lax، يمكن للمهاجم خداع المستخدم الذي قام بتسجيل الدخول لزيارة صفحة ضارة خارج الموقع. يؤدي هذا الإجراء إلى تشغيل عملية تنقل GET من المستوى الأعلى تعمل على تغيير سر TOTP الخاص بالمستخدم، مما يتسبب في عدم تطابق أداة المصادقة المسجلة مع الخادم ويجبر المستخدم على إعادة التسجيل في المصادقة الثنائية (2FA). لا تؤثر هذه المشكلة على المواقع التي تم تكوينها باستخدام `session.samesite: Strict`. **التوصيات** قم بتحديث grav-plugin-login إلى الإصدار 3.8.11 أو أحدث. قم بتكوين `session.samesite` على `Strict` لمنع استغلال هذه المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.1 إصدارات Parse Server من 8.x إلى 8.6.83 **الوصف** توجد مشكلة في البرمجة النصية عبر المواقع (XSS) المخزنة عندما يفشل البرنامج في التعرف على امتداد الملف الذي تم تحميله عبر حزمة mime، مما يؤدي إلى الاحتفاظ بنوع المحتوى (Content-Type) المقدم من العميل. يمكن لـ Content-Type غير الصحيح الذي لا يتبع تنسيقًا صالحًا لنوع الوسائط/النوع الفرعي (على سبيل المثال، ’image‘ أو ’image/‘ أو ’image//svg+xml‘) تجاوز قائمة الحظر `fileUpload.fileExtensions` وتخزينه دون تعديل. عند استخدام محولات التخزين التي تحتفظ بنوع المحتوى (Content-Type) الذي تم تحميله وتقدمه، مثل Amazon S3 أو Google Cloud Storage أو Azure Blob Storage، قد تفشل المتصفحات في تحليل القيمة غير الصحيحة وإجراء عملية استكشاف MIME. وهذا يسمح بعرض ملف يبدأ بـ HTML على أنه HTML، مما يؤدي إلى تنفيذ البرامج النصية المضمنة في مصدر التطبيق ضد المستخدمين الذين يصلون إلى عنوان URL للملف. لا يتأثر محول التخزين الافتراضي GridFS بهذه المشكلة. **التوصيات** قم بالتحديث إلى الإصدار 9.10.0-alpha.2 أو أحدث. قم بالتحديث إلى الإصدار 8.6.84 أو أحدث.