Hung Nguyen

Server-side request forgery (ssrf) in Microsoft Office SharePoint allows an authorized attacker to elevate privileges over a network.

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بتنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). يحدث ذلك عبر المعلمات `hb country iso` و`hb usa state iso` و`hb canada province iso`، مما يتيح حقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يصل المستخدم إلى صفحة إدارة عملاء HBook.

يمكن تنفيذ التعليمات البرمجية عن بُعد عبر ميزة ”منطق العرض“ (Display Logic). تنشأ المشكلة لأن المكون الإضافي يستخدم الدالة `eval()` على تعبيرات ”منطق العرض“ التي يقدمها المستخدم، مع وجود قائمة حظر/قائمة سماح غير كافية يمكن تجاوزها باستخدام `array map` مع ربط السلاسل. بالإضافة إلى ذلك، هناك نقص في فرض الترخيص على السمة `extended widget opts block`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بتنفيذ تعليمات برمجية تعسفية على الخادم.

يوجد ثغرة تسمح بتحميل ملفات عشوائية في المكون الإضافي Breeze Cache الخاص بـ WordPress، مما يؤثر على حوالي 400,000 تثبيت نشط. تحدث المشكلة داخل الدالة `fetch gravatar from remote()` بسبب عدم التحقق من صحة نوع الملف واستخدام تعبير عادي غير صحيح يسمح باستخراج عناوين URL من السمة `alt` لعلامات الصور بدلاً من السمة `src` فقط. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة عن طريق التلاعب بالاسم المعروض للتعليق لتضمين عنوان URL ضار يشير إلى ملف PHP. عند معالجة هذا الرابط، يقوم المكون الإضافي بتنزيل الملف وحفظه على الخادم، مما قد يسمح بتنفيذ التعليمات البرمجية عن بُعد من خلال تحميل برامج PHP الخلفية. ولا يمكن استغلال هذه الثغرة إلا إذا كان الإعداد ”Host Files Locally - Gravatars“ (استضافة الملفات محليًّا - Gravatars) ممكّنًا. وقد بدأت عمليات الاستغلال الفعلية فور الكشف عن الثغرة في 22 أبريل 2026، حيث تم حظر أكثر من 30,000 محاولة بواسطة جدران الحماية الأمنية. وقد لوحظ قيام المهاجمين بتحميل برامج PHP ذاتية الحذف لإنشاء بوابات خلفية وحسابات إدارية مزيفة.

يحتوي البرنامج على مشكلة «إشارة مباشرة غير آمنة إلى كائن» في الدالة `executePayment()`. يؤدي عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم إلى السماح للمهاجمين غير المصادق عليهم بإتمام أوامر شراء معلقة عشوائية. ويحدث ذلك بسبب عدم تطابق «رمز» معاملة PayPal مع «order id» المحلي، مما قد يتيح سرقة السلع الرقمية المدفوعة عن طريق استغلال رمز الدفع الخاص بسلعة منخفضة التكلفة لإتمام طلب شراء عالي القيمة.

المكوّن الإضافي «The Ultimate WordPress Toolkit – WP Extended» الخاص بـ WordPress معرض لمشكلة تتعلق بتصعيد الصلاحيات. وينجم ذلك عن فحص غير آمن باستخدام الدالة `strpos()` ضمن الأسلوب `isDashboardOrProfileRequest()` للمتغير `$ SERVER[’REQUEST URI‘]`، والذي يُستخدم لتحديد ما إذا كان الطلب يستهدف لوحة التحكم أو صفحة الملف الشخصي. وتمنح الدالة `grantVirtualCaps()`، المرتبطة بمرشح `user has cap`، صلاحيات مرتفعة، بما في ذلك `manage options`، عندما تُرجع نتيجة هذا الفحص القيمة ”true“. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى استغلال هذه الثغرة عن طريق إضافة معلمة استعلام مصممة خصيصًا إلى أي عنوان URL خاص بالإدارة، مما يمكّنهم من تحديث خيارات WordPress التعسفية وإنشاء حسابات إدارية جديدة.

المكوّن الإضافي Autoptimize الخاص بـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Stored Cross-Site Scripting) من خلال القيمة الوصفية `ao post preload`. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات داخل الدالة `ao metabox save()`، وعدم وجود عملية تصفية المخرجات عند عرض القيمة في علامة `<link>` في ملف `autoptimizeImages.php`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى صفحة تم حقنها، شريطة أن يكون إعداد «تحسين الصور» (Image optimization) أو «تحميل الصور المتأخر» (Lazy-load images) ممكّنًا في إعدادات المكون الإضافي.

المكوّن الإضافي Aimogen Pro الخاص بـ WordPress معرض لثغرة «استدعاء دالة تعسفي» (Arbitrary Function Call)، مما قد يؤدي إلى تصعيد الامتيازات. ويرجع ذلك إلى عدم وجود فحص للصلاحيات داخل الدالة `aiomatic call ai function realtime`. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة لاستدعاء وظائف WordPress تعسفية، مثل `update option`، لتعديل إعدادات الموقع. وعلى وجه التحديد، يمكن للمهاجمين تحديث الدور الافتراضي للمستخدم عند التسجيل إلى «مسؤول»، مما يمكّنهم من الحصول على وصول إداري إلى الموقع المعرض للخطر. تسمح وظيفة `update option` بتعديل خيارات WordPress، مما قد يؤثر على أمن الموقع ووظائفه.

المكوّن الإضافي WP Go Maps الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يؤدي عدم وجود فحص للصلاحيات في الدالة المجهولة المرتبطة بـ hook `admin post wpgmza save settings` إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة التي تم حقنها عبر المعلمة `wpgmza custom js`.

المكوّن الإضافي LatePoint – Calendar Booking Plugin for Appointments and Events الخاص بـ WordPress معرض لخطر تصعيد الصلاحيات من خلال ثغرة في وظيفة إعادة تعيين كلمة المرور. تنبع المشكلة من سماح المكون الإضافي للمستخدمين الذين يحملون دور «وكيل LatePoint» (LatePoint Agent)، عند إنشاء عملاء جدد، بتعيين الحقل `wordpress user id`. وهذا يسمح للمهاجمين المصادق عليهم الذين يمتلكون وصولاً على مستوى «وكيل» أو أعلى بالحصول على امتيازات عالية من خلال ربط عميل بمعرف مستخدم تعسفي، بما في ذلك المحتمل أن يكون من بينهم المسؤولون، ومن ثم إعادة تعيين كلمة المرور. يُستخدم الحقل `wordpress user id` لربط عميل بحساب مستخدم WordPress.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي Post Duplicator لـ WordPress حتى الإصدار 3.0.8 بما في ذلك الوصف يُعتبر المكون الإضافي Post Duplicator لـ WordPress عرضة لتعديل غير مصرح به للبيانات الوصفية للمنشورات المحمية. ويرجع ذلك إلى أن الدالة `duplicate post()` تستخدم مباشرةً `$wpdb->insert()` في الجدول `wp postmeta`، متجاهلةً الدالة القياسية `add post meta()` والتحقق المرتبط بها `is protected meta()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول بمستوى «مساهم» أو أعلى بإدخال مفاتيح بيانات وصفية محمية عشوائية، مثل ` wp page template` و` wp attached file`، في المنشورات المكررة. يمكن استغلال هذه الثغرة من خلال معلمة مصفوفة JSON `customMetaData` في نقطة نهاية واجهة برمجة التطبيقات (API) `/wp-json/post-duplicator/v1/duplicate-post`. التوصيات قم بتحديث المكون الإضافي Post Duplicator إلى إصدار أحدث من 3.0.8.

المكوّن الإضافي Product Table and List Builder for WooCommerce Lite الخاص بـ WordPress معرض لخطر حقن SQL القائم على الوقت. ويرجع ذلك إلى عدم معالجة المدخلات التي يقدمها المستخدم في المعلمة `search` بشكل صحيح، بالإضافة إلى عدم إعداد استعلام SQL الحالي بشكل كافٍ. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL إضافية في الاستعلامات الحالية، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

المكوّن الإضافي SiteOrigin Widgets Bundle لـ WordPress معرض لتنفيذ رموز قصيرة (shortcodes) تعسفي وغير مصرح به. ويرجع السبب في ذلك إلى عدم وجود تحقق من الصلاحيات داخل الدالة `siteorigin widget preview widget action()`، والتي يتم تسجيلها عبر إجراء AJAX `wp ajax so widgets preview`. تتحقق الدالة من وجود رقم عشوائي (nonce) (`widgets action`)، لكنها لا تتحقق من صلاحيات المستخدم، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتنفيذ أكواد قصيرة تعسفية. يتم الكشف عن الرقم العشوائي المطلوب في الواجهة الأمامية العامة عند وجود عنصر واجهة المستخدم «Post Carousel» في إحدى الصفحات، حيث يتم تضمينه داخل سمة HTML `data-ajax-url`. يمكن للمهاجمين استدعاء `SiteOrigin Widget Editor Widget` عبر نقطة نهاية المعاينة لاستغلال هذه الثغرة الأمنية.

The issue allows unauthenticated attackers to extract sensitive data, including full draft posts and password-protected posts, as well as the password for password-protected posts, via the `get posts` REST API Endpoint.

The issue is related to Stored Cross-Site Scripting via the plugin's shortcode(s) due to insufficient input sanitization and output escaping on user supplied attributes, such as `attributes` from users. This allows authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page, potentially through `API Endpoints` like `/wp-admin/admin.php`.