Darkestmode

يتعرض المكون الإضافي لثغرة «التنفيذ البرمجي عبر المواقع المنعكس» (Reflected Cross-Site Scripting أو XSS)، وهي ثغرة تتمثل في قيام التطبيق بتضمين بيانات غير موثوق بها في صفحة ويب دون إجراء التحقق المناسب، مما يسمح للمهاجمين بتنفيذ نصوص برمجية في متصفح الضحية. يحدث هذا عبر معلمات URL عندما يكون وضع iframe نشطًا بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. يمكن للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية إذا تم خداع المستخدم للنقر على رابط ضار. يتطلب ذلك تمكين إعداد `AI OPTION IFRAME` في كتلة إعلانية واحدة على الأقل في الصفحة المستهدفة.

يحدث نقص في إجراءات المصادقة في الدالة `pagelist unqprfx ext shortcode()`، وتحديدًا داخل الرموز المختصرة ’[pagelist ext]‘ و'[pagelistext]'. تقبل الدالة سمات `post status` و`post type` و`show meta key` التي يتحكم فيها المهاجم، وتمررها مباشرةً إلى `get pages()` و`get post meta()` دون التحقق مما إذا كان المستخدم يمتلك الصلاحيات اللازمة لقراءة الكائنات المطابقة. إذا كانت المشاركة الحالية تفتقر إلى صفحات فرعية، يتم إعادة إصدار الاستعلام مع تعيين `child of` على 0، مما يوسع نطاق البحث ليشمل جميع الصفحات على الموقع التي تتطابق مع الحالة والنوع المحددين. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بالكشف عن العناوين ومحتوى النص والمقتطفات وبيانات تعريف المشاركة التعسفية للصفحات الخاصة والمسودات، وذلك عن طريق إدراج الرمز المختصر في مسودة ومعاينتها.

توجد مشكلة تتعلق بالوصول غير المصرح به، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى حذف جميع سجلات SMTP2GO من قاعدة البيانات أو تنزيل ملف CSV يحتوي على بيانات سجل SMTP الحساسة، مثل عناوين المستلمين وعناوين المرسلين وموضوعات الرسائل وبيانات استجابة واجهة برمجة التطبيقات (API).

المكوّن الإضافي معرض لخطر «تزوير الطلبات عبر المواقع» (CSRF)، وهو ثغرة أمنية يتم فيها خداع الضحية من قِبل المهاجم لتنفيذ إجراءات غير مرغوب فيها. ويحدث ذلك لأن الدالة `save widget context settings()` تفتقر إلى التحقق الصحيح من صحة الرمز العشوائي (nonce). الرقم العشوائي (nonce) هو رمز فريد يُستخدم للتحقق من أن الطلب قد أُرسل عن قصد من قبل المستخدم. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم تعديل إعدادات سياق ظهور عناصر واجهة المستخدم (widget) في جدول خيارات WordPress عن طريق إرسال طلب POST مزور إلى نقطة النهاية ’/wp-admin/widgets.php‘، شريطة أن يتمكنوا من خداع مسؤول الموقع للنقر على رابط ضار.

يمكن تنفيذ هجوم البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) عبر سمات `className` و`classHook` و`blockId` في كتلة ”Add to Cart“ (”essential-blocks/add-to-cart“). تحدث المشكلة في الدالة `render callback()` بسبب عدم كفاية عملية التهرب من الإخراج عند وضع هذه السمات في سمات HTML الخاصة بالفئة ومعرف البيانات باستخدام `sprintf()` و`implode()` دون استخدام التهرب `esc attr()`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

يوجد «إشارة مباشرة غير آمنة إلى كائن» (Insecure Direct Object Reference) بسبب تسجيل الدالة `OsStripeConnectController::create payment intent for transaction()` كإجراء عام لا يتطلب أي مصادقة. يقوم النظام بتحميل الفواتير باستخدام قيم `invoice id` الصحيحة المتسلسلة دون التحقق من الملكية أو طلب مفتاح وصول. وهذا يسمح للمهاجمين غير المصادق عليهم بتعداد معرّفات الفواتير الصالحة من خلال رسائل الخطأ وإنشاء سجلات نوايا معاملات غير مصرح بها تحتوي على بيانات مالية حساسة، بما في ذلك `invoice id` و`order id` و`customer id` و`charge amount`. بالإضافة إلى ذلك، في المواقع التي تستخدم Stripe Connect، تتسرب من الاستجابة رموز `payment intent client secret` وقيم `transaction intent key` ومبالغ الدفع لأي فاتورة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي Smart Slider 3 لـ WordPress حتى الإصدار 3.5.1.33 بما في ذلك الوصف المكوّن الإضافي Smart Slider 3 لـ WordPress معرض لخطر الوصول غير المصرح به إلى البيانات وتعديلها. ويرجع ذلك إلى عدم وجود عمليات التحقق من الصلاحيات في العديد من إجراءات وحدة التحكم `wp ajax smart-slider3`. تفتقر طريقة `display admin ajax()` إلى استدعاء `checkForCap()`، الذي يتطلب صلاحية unfiltered html. تقوم العديد من إجراءات وحدة التحكم بالتحقق من صحة الرمز العشوائي (`validateToken()`) فقط دون التحقق من صحة الأذونات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بتعداد بيانات تعريف شريط التمرير وإنشاء سجلات تخزين الصور وتعديلها وحذفها من خلال الاستفادة من `nextend nonce` المكشوف في صفحات محرر المنشورات. التوصيات التحديث إلى إصدار أحدث من 3.5.1.33

يحتوي المكون الإضافي على ثغرة تسمح بتعديل البيانات دون إذن. ويرجع ذلك إلى عدم كفاية فحص الصلاحيات في نقاط نهاية واجهة برمجة تطبيقات REST الخاصة بقواعد الوصول إلى المحتوى. حيث تقوم طريقة `check permissions()` بالتحقق من صلاحية `edit posts` فقط بدلاً من طلب أذونات على مستوى المسؤول. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى عرض قواعد تقييد المحتوى على مستوى الموقع وإنشاؤها وتعديلها وتبديلها وتكرارها وحذفها. وقد يؤدي ذلك إلى كشف المحتوى المقيد أو حرمان المستخدمين الشرعيين من الوصول إليه. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي نقاط نهاية واجهة برمجة التطبيقات REST الخاصة بقواعد الوصول إلى المحتوى. لم يتم تحديد المعلمة المعرضة للخطر.

يحتوي المكوّن الإضافي «Smart Custom Fields» لـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى البيانات. يؤدي عدم وجود فحص للصلاحيات داخل الدالة `relational posts search()` إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بقراءة محتوى المنشورات الخاصة والمسودات الخاصة بمؤلفين آخرين. ويتم ذلك من خلال إجراء AJAX المسمى `smart-cf-relational-posts-search`، الذي يستعلم عن المنشورات بأي حالة ويُرجع كائنات المنشورات كاملة، بما في ذلك `post content`، لكنه يتحقق فقط من الصلاحية العامة `edit posts` بدلاً من أذونات الوصول الفردية للمنشورات.

المكوّن الإضافي «Social Icons Widget & Block» الخاص بـ WordPress معرض لتعديل البيانات دون إذن. ويحدث ذلك بسبب عدم وجود فحص للصلاحيات داخل الدالة `add menu item()`، المرتبطة بالإجراء `admin menu`. تستخدم الدالة `wp insert post()` و`update post meta()` لإنشاء إعدادات المشاركة دون التحقق من أن المستخدم الحالي يمتلك أذونات على مستوى المسؤول. وهذا يسمح للمهاجمين المصادق عليهم الذين يمتلكون وصولاً على مستوى المشترك أو أعلى بإنشاء منشور منشور لإعدادات مشاركة wpzoom مع إعدادات أزرار المشاركة الافتراضية. ونتيجة لذلك، يتم إدراج أزرار المشاركة على الشبكات الاجتماعية تلقائيًا في جميع محتويات المنشورات على الواجهة الأمامية من خلال مرشح `the content`.