D.Sim

يحتوي المكون الإضافي «Animation Addons for Elementor» الخاص بـ WordPress على ثغرة أمنية تتعلق بـ «البرمجة النصية عبر المواقع المخزنة المستندة إلى DOM». تحدث هذه الثغرة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لعدة معلمات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة.

المكوّن الإضافي Xpro Addons — 140+ Widgets for Elementor لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» المخزّن (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم داخل عنصر واجهة المستخدم «Image Scroller» الخاص بالمكوّن الإضافي، وتحديدًا السمة `box link`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يزور مستخدم ما الصفحة المخترقة.

المكوّن الإضافي RSS Aggregator لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المنعكس. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم ضمن المعلمة `template`. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. ويتطلب الاستغلال الناجح حث المستخدم على القيام بإجراء ما، مثل النقر على رابط. والمعلمة المعرضة للخطر هي `template`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات المكون الإضافي «Unlimited Elements for Elementor» حتى الإصدار 2.0.1 الوصف يحتوي المكون الإضافي «Unlimited Elements for Elementor» الخاص بـ WordPress على ثغرة أمنية من نوع «Cross-Site Scripting Armazenado». ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وعدم المعالجة المناسبة لعناوين URL التي يقدمها المستخدم. يمكن للمهاجم المصادق عليه الذي يتمتع بمستوى وصول «مساهم» أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يزور المستخدم الصفحة المخترقة. المكون المعرض للخطر هو حقل «رابط الزر» في عنصر واجهة المستخدم Border Hero. التوصيات قم بتحديث المكون الإضافي Unlimited Elements for Elementor إلى إصدار أحدث من 2.0.1.

البرنامج معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات عند تمكين المحتوى الديناميكي. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بأذونات على مستوى «المساهم» أو أعلى بإدخال نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة. تؤثر هذه المشكلة على معلمات متعددة في عناصر واجهة المستخدم.

المكوّن الإضافي Name Directory لـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في المعلمات `name directory name` و`name directory description`. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. وعندما يصل المستخدم إلى صفحة تم حقنها، سيتم تنفيذ النصوص البرمجية.

البرنامج معرض لخطر «التنفيذ البرمجي عبر المواقع» (XSS) المخزن بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في حقل رسالة الدردشة. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم أحد المسؤولين بالدخول إلى صفحة «سجل الدردشة».

المكوّن الإضافي Happy Addons for Elementor الخاص بـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) عبر المعلمة `ha page custom js`. تسمح عمليات التنقية غير الكافية للمدخلات والهروب غير الكافي للمخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها.

يُعتبر المكون الإضافي Five Star Restaurant Reservations – WordPress Booking Plugin الخاص بـ WordPress عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمعلمة `rtb-name`. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب ضارة في الصفحات، والتي سيتم تنفيذها عندما يقوم المستخدم بالوصول إلى هذه الصفحات.

البرنامج معرض لثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع (XSS) المخزّن» بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وعلى وجه التحديد، لا يتم التحقق من صحة حقل «اسم العرض» للضيف بشكل صحيح، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى صفحة تم حقنها.

يحتوي المكون الإضافي All-in-One Addons for Elementor – WidgetKit الخاص بـ WordPress على ثغرة تسمح بتخزين وتنفيذ كود ضار عندما يقوم المستخدم بعرض صفحة تحتوي على الكود المُدرج. ويؤثر ذلك على عناصر واجهة المستخدم Team و Countdown بسبب المعالجة غير السليمة للبيانات التي يقدمها المستخدم، وتحديدًا عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للسمات التي يقدمها المستخدم. يمكن للمهاجم الذي يتمتع بوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم بعد ذلك تنفيذ هذه النصوص البرمجية في متصفحات المستخدمين الذين يزورون الصفحات المتأثرة.

المكوّن الإضافي Livemesh SiteOrigin Widgets لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال عناصر واجهة المستخدم Hero Header وPricing Table. إن عدم كفاية تنقية المدخلات وعدم ملاءمة معالجة المخرجات للسمات التي يقدمها المستخدم يتيح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة.

المكوّن الإضافي MarqueeAddons لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored XSS) من خلال عنصر واجهة المستخدم «Testimonial Marquee». إن عدم كفاية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها.

المكوّن الإضافي King Addons for Elementor لـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم داخل عناصر واجهة المستخدم (widgets) Pricing Slider وPricing Calculator وImage Accordion. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المساهم“ (contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يزور مستخدم ما الصفحة المتأثرة.

المكوّن الإضافي Enter Addons لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال عناصر واجهة المستخدم «Countdown» و«Image Comparison». ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للسمات التي يقدمها المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة.

المكوّن الإضافي JetWidgets For Elementor لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال عناصر واجهة المستخدم «Image Comparison» و«Subscribe». إن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم تسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة.

المكوّن الإضافي Gutenify لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للسمات التي يقدمها المستخدم ضمن سمات الكتل الخاصة بالمكوّن الإضافي. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات. سيتم تنفيذ هذه البرامج النصية كلما قام مستخدم بالوصول إلى الصفحة المخترقة.

المكوّن الإضافي RTMKit Addons for Elementor لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). ويحدث ذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم داخل «كتلة الأكورديون» (Accordion Block) الخاصة بالمكوّن الإضافي. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Collaborator) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة.

المكوّن الإضافي Element Pack Addons for Elementor لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال معلمة محتوى علامة Open Street Map. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للسمات التي يقدمها المستخدم داخل دالة العرض. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

المكوّن الإضافي «Testimonial Carousel For Elementor» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بإدخال نصوص برمجية ويب ضارة في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المخترقة. تؤثر هذه المشكلة على معلمات متعددة.