Duy Tran

The TI WooCommerce Wishlist WordPress plugin before 2.13.0 does not enforce the same owner-only access control on its REST API that it applies on the front-end, allowing unauthenticated users to read the metadata and item contents of private wishlists.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة Rank Math SEO لـ WordPress الإصدارات السابقة لـ 1.0.280 **الوصف** تفشل الإضافة في إجراء تحقق من الصلاحيات أو التحقق من الـ nonce قبل مسح بيانات تحليل تحسين محركات البحث (SEO) المخزنة. يسمح هذا للمستخدمين غير المصرح لهم بحذف هذه البيانات. الـ nonce هو رمز فريد يستخدم للحماية من هجمات تزوير الطلبات عبر المواقع (CSRF). **التوصيات** تحديث الإضافة إلى الإصدار 1.0.280 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** BackWPup WordPress plugin versions prior to 5.7.7 **Description** The plugin fails to verify if requests sent to its cron-triggered backup execution handler originate from the internal scheduled-event dispatch of WordPress. This allows unauthenticated attackers to force any existing backup job to execute immediately, bypassing the configured schedule or trigger type. **Recommendations** Update the plugin to version 5.7.7 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات FiboSearch الأقدم من 1.34.1 **الوصف** يفشل المكون الإضافي في استبعاد المنتجات المحمية بكلمة مرور بشكل ثابت من نقاط نهاية AJAX غير المصادق عليها. وهذا يسمح للمستخدمين غير المصادق عليهم بتعداد وكشف المنتجات المحمية بكلمة مرور والبيانات الوصفية المرتبطة بها دون تقديم كلمة المرور المطلوبة. نقاط النهاية المتأثرة هي «dgwt wcas ajax search» (المستخدمة للبحث التلقائي) و«dgwt wcas result details» (المستخدمة للوحة التفاصيل عند الاستعلام عن تفاصيل التصنيف). **التوصيات** تحديث FiboSearch إلى الإصدار 1.34.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Easy Appointments» لـ WordPress الأقدم من 3.12.27 **الوصف** يفشل المكون الإضافي في التحقق مما إذا كان الموعد الذي يتم تحديثه عبر إجراء تحديث بيانات العميل ينتمي إلى المستخدم الذي تمت مصادقته. ويعتمد المكون الإضافي على رقم عشوائي مشترك (رمز فريد يُستخدم لمنع تزوير الطلبات عبر المواقع) يمكن لأي مستخدم تمت مصادقته الحصول عليه من نموذج تعديل الموعد الخاص به. ونتيجة لذلك، يمكن للمستخدم الذي يتمتع بامتيازات على مستوى المشترك إعادة استخدام هذا الرقم العشوائي للكتابة فوق البيانات الوصفية للعميل الخاصة بموعد مستخدم آخر، وتحديدًا المتغيرات `email` و`name` و`phone` و`description`. وإذا قام أحد المسؤولين لاحقًا بتغيير حالة الموعد في حين أن إشعارات العملاء مفعّلة، فسيتم إرسال الإشعار الموجه للضحية إلى عنوان البريد الإلكتروني للمهاجم. **التوصيات** قم بتحديث المكون الإضافي Easy Appointments لـ WordPress إلى الإصدار 3.12.27 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «مدير العلامات والفئات والتصنيف» (Tag, Category, and Taxonomy Manager) الأقدم من 3.51.0 **الوصف** تحدث هذه المشكلة لأن المكون الإضافي يفشل في التحقق مما إذا كان المستخدم مخولًا بالوصول إلى منشور مشار إليه قبل معالجته وإرجاع البيانات المشتقة منه. ونتيجة لذلك، يمكن للمستخدمين الذين يتمتعون بامتيازات المساهم الكشف عن معلومات من منشورات خاصة أو مسودات لا يملكونها. **التوصيات** قم بالتحديث إلى الإصدار 3.51.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Simple Membership» لـ WordPress الأقدم من الإصدار 4.7.5 **الوصف** يحدث نقص في التحقق من طلبات «webhook» الخاصة بـ Stripe في حالة عدم تكوين سر التوقيع. بالإضافة إلى ذلك، يفشل المكون الإضافي في تصفية القيم المستردة من هذه الطلبات قبل عرضها في إشعارات المسؤول. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ هجوم عبر المواقع (XSS) — عن طريق حقن نصوص برمجية ويب عشوائية يتم تنفيذها ضمن جلسة عمل المسؤول الذي قام بتسجيل الدخول. **التوصيات** قم بتحديث المكون الإضافي Simple Membership لـ WordPress إلى الإصدار 4.7.5 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Everest Forms الأقدم من 3.5.0 **الوصف** يفشل المكون الإضافي في حذف ملفات CSV المؤقتة التي تم إنشاؤها أثناء معالجة إشعارات البريد الإلكتروني بشكل موثوق. تظل هذه الملفات متاحة للجمهور داخل دليل التحميلات. يمكن للمهاجمين غير المصادق عليهم استرداد سجلات إرسال النماذج الخاصة بالمستخدمين الآخرين من خلال الاستفادة من أسماء الملفات التي يمكن توقعها وتعدادها. **التوصيات** تحديث المكون الإضافي إلى الإصدار 3.5.0 أو أحدث.