Dj

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات CM Business Directory الأقدم من 1.5.8 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). ويحدث ذلك عندما يتم إدخال نصوص برمجية ويب عشوائية إلى الصفحات عبر حقول بيانات تعريفية لعناوين الأعمال، والتي يتم تنفيذها بعد ذلك عندما يصل المستخدم إلى الصفحة المتأثرة. ونظرًا لأن الحمولة تُخزَّن في ميتا المنشور (post meta) بدلاً من محتوى المنشور (post content)، يتم تجاوز تقييد إمكانية `unfiltered html` في WordPress. وتشمل المتغيرات المتأثرة `cmbd address` و`cmbd cityTown` و`cmbd stateCounty` و`cmbd postalcode` و`cmbd region` و`cmbd country`. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.5.7. قم بتقييد استخدام الحقول `cmbd address` و`cmbd cityTown` و`cmbd stateCounty` و`cmbd postalcode` و`cmbd region` و`cmbd country` على المستخدمين الموثوق بهم فقط.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP Photo Album Plus الأقدم من 9.1.13.006 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). يمكن للمهاجم إدخال نصوص برمجية ويب عشوائية في الصفحات عن طريق تضمين رمز قصير خبيث `[photo]` في منشور تم إرساله للمراجعة. يتم تنفيذ هذه النصوص البرمجية عندما يقوم المسؤول أو أي مستخدم آخر بعرض الصفحة المتأثرة. يتم تشغيل هذه المشكلة عبر المعلمة `subtext`. **التوصيات** قم بتحديث WP Photo Album Plus إلى الإصدار 9.1.13.006 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات مشغل الفيديو FV Flowplayer الأقدم من 7.5.51.722 **الوصف** تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (XSS) بسبب عدم كفاية تنقية المدخلات وتصفية المخرجات في السمات التي يزودها المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية من خلال السمة `align` في الرمز المختصر `video player`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 7.5.51.7212. كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تحرير الصفحات أو استخدام الرمز المختصر `video player`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Event Organiser» الأقدم من 3.13.0 **الوصف** يحتوي المكون الإضافي «Event Organiser» الخاص بـ WordPress على ثغرة أمنية من نوع «Stored Cross-Site Scripting». وتحدث هذه الثغرة لأن الرمز المختصر `eo events` يقبل محتوى `no events` الذي يتحكم فيه المهاجم ويعرضه في قوالب قائمة الأحداث دون تطبيق إجراءات الحماية المناسبة على المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.12.9.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Featured Image» الأقدم من 2.2 **الوصف** تحدث ثغرة «Stored Cross-Site Scripting» (تشفير البرمجة عبر المواقع المخزنة) بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Canvas لإصدارات WordPress السابقة للإصدار 2.5.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `tag`. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.5.2. كحل مؤقت، قم بتقييد الوصول إلى المعلمة `tag` للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي ZeM STL لـ WordPress للإصدارات الأقدم من 1.1 **الوصف** يمكن حدوث هجوم «التنفيذ البرمجي عبر المواقع» المخزّن (Stored Cross-Site Scripting) عبر الرمز المختصر `[zemstl]` بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات للسمات التي يزودها المستخدم. وعلى وجه التحديد، يتم إدراج المعلمات `url` و`color` و`bgcolor` في سياقات سمات HTML دون معالجتها بواسطة `esc attr()` أو وظائف التهرب المماثلة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0. كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى «المساهم» على استخدام الرمز المختصر `[zemstl]` أو تعديل المعلمات `url` و`color` و`bgcolor`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Simple Divi Shortcode الأقدم من 1.3 **الوصف** يحتوي المكون الإضافي Simple Divi Shortcode الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). وتحدث هذه الثغرة لأن الدالة `showmodule shortcode()` تفشل في تنقية المدخلات بشكل صحيح وتهرب المخرجات عند معالجة المعلمة `id` الخاصة بالرمز المختصر `[showmodule]`. يتم ربط السمة `id` مباشرةً بسلسلة الرمز القصير التي يتم إنشاؤها ديناميكيًا دون استخدام `esc attr()` أو طرق التهرب الأخرى، مما يسمح للمهاجم بكسر سياق السمة وحقن كود HTML تعسفي. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.2. كحل مؤقت، قم بتقييد استخدام المعلمة `id` داخل الرمز المختصر `[showmodule]` أو قم بتحديد أذونات المستخدمين لمنع المساهمين من تحرير الصفحات التي تحتوي على هذا الرمز المختصر.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Shariff Wrapper الأقدم من 4.6.21 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). توجد المشكلة في المعلمة `headline` الخاصة بالرمز المختصر `[shariff]`. وتحدث هذه المشكلة لأن المكون الإضافي يستخدم تطبيقًا مخصصًا لـ `wp kses` مع علامات HTML متساهلة، ثم يقوم بعد ذلك بتنفيذ عملية `str replace` التي تُدخل HTML بعد التنقية. تسمح هذه السلسلة بإدخال معالجات الأحداث من خلال العنصر النائب `%total` في سمة النمط، مما يتيح تنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم صفحة متأثرة. **التوصيات** قم بتحديث Shariff Wrapper إلى الإصدار 4.6.21 أو أحدث. تجنب استخدام المعلمة `headline` في الرمز المختصر `[shariff]` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Livemesh SiteOrigin Widgets الأقدم من 3.9.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى `lsow admin ajax`، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية. **التوصيات** قم بتحديث Livemesh SiteOrigin Widgets إلى الإصدار 3.9.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Post Category Gallery الأقدم من 1.0.1 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر «postcategorygallery». تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل الدالة `sc horcatbar()`. وعلى وجه التحديد، يتم ربط سمات الرمز المختصر التي يزودها المستخدم، مثل `total width` و`color scheme` و`caption font size`، مباشرةً بقيم سمات HTML. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.0.0. كإجراء تخفيفي مؤقت، قم بتقييد استخدام الرمز القصير `postcategorygallery` وسماته `total width` و`color scheme` و`caption font size` للمستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Geo Mashup الأقدم من 1.13.18 **الوصف** يؤدي التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة، وهي حالة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف ثم تقديمها للمستخدمين الآخرين. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.13.18.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات Livemesh لـ Beaver Builder للإصدارات الأقدم من 3.9.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى `labb admin ajax`، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية. **التوصيات** قم بتحديث Livemesh Addons for Beaver Builder إلى الإصدار 3.9.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي jQuery googleslides الخاص بـ WordPress للإصدارات الأقدم من 1.4 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر «googleslides». تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات داخل الدالة `googleslides handler()`. وعلى وجه التحديد، تقوم الدالة بإدراج السمات التي يزودها المستخدم — `userid`، و`albumid`، و`authkey`، و`imgmax`، و`maxresults`، و`random`، و`caption`، و`albumlink`، و`time`، و`fadespeed` — مباشرةً في سمات HTML الموضوعة بين علامتي اقتباس مفردة دون استخدام `esc attr()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** تحديث المكون الإضافي jQuery googleslides لـ WordPress إلى الإصدار 1.4 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Query Shortcode» الأقدم من 0.2.2 **الوصف** يحتوي المكون الإضافي «Query Shortcode» الخاص بـ WordPress على ثغرة أمنية تتعلق بإدراج الملفات المحلية (Local File Inclusion) داخل وظيفة الرمز القصير. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى استغلال هذه الثغرة باستخدام سمة الرمز القصير `lens` لتضمين وتنفيذ ملفات .php عشوائية على الخادم. وهذا يسمح بتنفيذ كود PHP، والذي يمكن استخدامه لتجاوز ضوابط الوصول أو الحصول على بيانات حساسة، خاصةً عندما يكون من الممكن تحميل ملفات .php على الخادم. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 0.2.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Events In City» الأقدم من 3.1 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر «org-events». تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات داخل الدالة `org event scode()`. وعلى وجه التحديد، يتم ربط السمات التي يزودها المستخدم، بما في ذلك `organizer id` و`width` و`height` و`transparency` و`header` و`border` و`layout`، مباشرةً بسمات HTML دون استخدام `esc attr()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.0. كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تحرير الصفحات أو استخدام الرمز المختصر «org-events».

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات WPBakery Page Builder من Livemesh، الإصدارات الأقدم من 3.9.5 **الوصف** تحدث ثغرة ”Stored Cross-Site Scripting“ (تخزين البرمجة النصية عبر المواقع) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. يتم ترميز سمات الرموز المختصرة لـ `[lvca carousel]` و`[lvca posts carousel]` باستخدام `wp json encode()` ووضعها في سمات HTML `data-settings` بين علامتي اقتباس مفردة دون استخدام `esc attr()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بإدخال علامات الاقتباس المفردة للخروج من السمة وتنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.9.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Content Slideshow الأقدم من 2.4.2 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل سمات الرموز المختصرة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 2.4.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات iWR Tooltip الأقدم من 1.1 **الوصف** يحتوي المكون الإضافي على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) داخل الرمز المختصر `iwrtooltip`. تفشل الدالة `iwr tooltip()` في تنقية المدخلات بشكل صحيح وتهريب المخرجات للسمات التي يزودها المستخدم. على وجه التحديد، يتم ربط السمة `title` مباشرةً بسمة HTML دون استخدام `esc attr()` أو طرق تهريب أخرى. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** تحديث المكون الإضافي إلى إصدار أحدث من 1.0. كإجراء تخفيفي مؤقت، تقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تعديل الصفحات أو استخدام الرمز المختصر `iwrtooltip`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Single Mailchimp» لإصدارات WordPress الأقدم من 1.5 **الوصف** تحدث ثغرة ”Stored Cross-Site Scripting“ عبر الرمز المختصر ”single-mailchimp“. تنشأ المشكلة من عدم كفاية تنقية المدخلات وتهريب المخرجات لسمات الرموز المختصرة التي يزودها المستخدم، وهي: `autocomplete` و`label` و`placeholder` و`btn text` و`success msg` و`error msg`، والتي يتم ربطها مباشرةً في مخرجات HTML بواسطة الدالة `single mailchimp()` في ملف shortcodes.php. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.4. كإجراء تخفيفي مؤقت، قم بتقييد حق الوصول على مستوى المساهم لتحرير الصفحات التي تحتوي على الرمز القصير ’single-mailchimp‘.