Huntersploit

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج Thelia الإصدارات السابقة لـ 3.1.5 برنامج Thelia الإصدارات 3.2.x السابقة لـ 3.2.4 **الوصف** يوجد خلل في منطق العمل يسمح للعملاء المصرح لهم بتجاوز حدود استخدام الكوبونات. يحدث هذا لأن النظام يحتسب استخدام الكوبون فقط عندما تصبح الطلبات مدفوعة. يمكن للمهاجم استغلال ذلك عن طريق تقديم طلبات متعددة بنظام الدفع اللاحق بينما لا يزال هناك حد استخدام متاح، أو إلغاء الطلبات المدفوعة لزيادة قيمة `max usage` بشكل مصطنع، مما يؤدي إلى الحصول على خصومات غير محدودة. **التوصيات** التحديث إلى الإصدار 3.1.5 أو أحدث. التحديث إلى الإصدار 3.2.4 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج Thelia الإصدارات السابقة لـ 3.1.2 برنامج Thelia الإصدارات 3.2.x السابقة لـ 3.2.1 **الوصف** توجد ثغرة تسمح للزوار غير المصرح لهم بتنفيذ حقن صيغ CSV من خلال تقديم بيانات مصممة خصيصاً في حقول التسجيل أو الدفع أو النشرة الإخبارية. يقوم `CSVSerializer` بتصدير القيم التي تبدأ بـ `=` أو `+` أو `-` أو `@` كما هي، مما قد يؤدي إلى تنفيذ صيغ برمجية عند فتح الملف الناتج في تطبيق الجداول الحسابية الخاص بالمسؤول. **التوصيات** التحديث إلى الإصدار 3.1.2 أو أحدث. التحديث إلى الإصدار 3.2.1 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج Thelia الإصدارات السابقة لـ 3.1.2 برنامج Thelia الإصدارات 3.2.x السابقة لـ 3.2.1 **الوصف** يمكن للمستخدمين الموثقين في المكتب الخلفية تحميل ملفات PHP عن طريق إضافة مسافة في نهاية اسم الملف. بينما يقوم `FileProcessorService` بالتحقق من اسم الملف الخام، تقوم الدالة `FileManager::sanitizeFileName()` بإزالة المسافة النهائية، مما يؤدي إلى تخزين ملف .php قابل للتنفيذ في الدليل `public/cache/documents/`. يسمح هذا بتنفيذ رمز عن بُعد بصلاحيات مستخدم خادم الويب. **التوصيات** تحديث Thelia إلى الإصدار 3.1.2 أو أحدث. تحديث Thelia 3.2.x إلى الإصدار 3.2.1 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة LearnPress لـ WordPress الإصدارات السابقة لـ 4.4.9.2 **Description** تسمح ثغرة cross-site scripting مخزنة للمستخدمين المصرح لهم بدور المعلم بحقن نصوص برمجية خبيثة. يحدث هذا عند إرسال حمولات غير مصفاة من خلال معالج AJAX `update question` عبر حقول تلميحات وشروحات أسئلة الاختبار. يتم بعد ذلك تنفيذ هذه النصوص في جلسة كل طالب يؤدي الاختبار المتأثر. **Recommendations** تحديث الإضافة إلى الإصدار 4.4.9.2 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد صلاحيات المستخدمين الذين لديهم دور المعلم لمنعهم من تعديل حقول تلميحات وشروحات أسئلة الاختبار.