Ismailshadow

يتعرض المكون الإضافي لثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Stored Cross-Site Scripting - XSS)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. تحدث هذه المشكلة لأن الدالة `authenticate()` تقوم بتخزين الناتج غير المُعقّم للمتغير الفائق `$ SERVER[’PHP SELF‘]` في خيار WordPress `login nocaptcha error` أثناء محاولات تسجيل الدخول من صفحات غير قياسية، مثل ’xmlrpc.php‘. وبالتالي، تقوم الدالة `admin notices()` بإخراج هذه القيمة المخزنة في كود HTML للوحة تحكم المشرف دون إجراء عملية التهريب (escaping) المناسبة. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يقوم مشرف يمتلك عنوان IP مدرج في القائمة البيضاء بالوصول إلى لوحة التحكم في غضون 30 ثانية من وقوع الهجوم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي MW WP Form الخاص بـ WordPress حتى الإصدار 5.1.0 بما في ذلك الوصف يُعتبر المكون الإضافي MW WP Form الخاص بـ WordPress عرضة لنقل الملفات بشكل تعسفي بسبب عدم كفاية التحقق من صحة مسار الملف من خلال الدالة `generate user filepath` والدالة `move temp file to upload dir`. وهذا يسمح للمهاجمين غير المصادق عليهم بنقل ملفات تعسفية على الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في حالة نقل ملف حساس، مثل wp-config.php. يمكن استغلال هذه الثغرة الأمنية عند إضافة حقل لتحميل الملفات إلى نموذج وتفعيل خيار «حفظ بيانات الاستفسار في قاعدة البيانات». وتؤثر هذه الثغرة على أكثر من 200,000 موقع WordPress. التوصيات قم بتحديث المكون الإضافي MW WP Form إلى إصدار أحدث من 5.1.0.

المكوّن الإضافي Kali Forms لـ WordPress معرض لخطر تنفيذ التعليمات البرمجية عن بُعد في الإصدارات حتى الإصدار 2.4.9 بما في ذلك. ويرجع ذلك إلى أن الدالة `prepare post data` تقوم بتعيين المفاتيح التي يزودها المستخدم مباشرةً في مخزن العناصر النائبة الداخلية، بالإضافة إلى استخدام الدالة `call user func` على قيم هذه العناصر النائبة. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ التعليمات البرمجية على الخادم. يتم تشغيل الثغرة الأمنية عبر الدالة `form process`. تتعلق المشكلة بالرموز النائبة التي يتحكم فيها المستخدم والدالة `call user func`، مما قد يؤدي إلى تنفيذ تعليمات برمجية غير مصرح بها.

يعاني المكون الإضافي Brevo لـ WordPress من مشكلة تجاوز التفويض ناتجة عن التلاعب بأنواع البيانات. ويحدث ذلك بسبب استخدام المقارنة غير الصارمة (==) بدلاً من المقارنة الصارمة (===) عند التحقق من صحة معرّف التثبيت. يمكن لمهاجم غير معتمد استغلال هذه الثغرة عن طريق إرسال قيمة منطقية `true` للمعلمة `id` إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/wp-json/mailin/v1/mailin disconnect`. يتيح الاستغلال الناجح للمهاجمين فصل تكامل Brevo، وحذف مفتاح واجهة برمجة التطبيقات (API)، وإزالة جميع نماذج التسجيل، وإعادة تعيين إعدادات المكون الإضافي. المعلمة المعرضة للخطر هي `id`.

المكوّن الإضافي معرض لخطر الوصول غير المصرح به إلى البيانات بسبب عدم التحقق من الأذونات في الدالة `greenshift app pass validation()`. يمكن للمهاجمين الذين يتمتعون بمستوى وصول «مشترك» أو أعلى استرداد الإعدادات العامة للمكوّن الإضافي، بما في ذلك مفاتيح واجهة برمجة التطبيقات (API) الخاصة بالذكاء الاصطناعي المخزنة.

المكوّن الإضافي Hummingbird Performance لـ WordPress معرض لخطر الكشف عن معلومات حساسة. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج البيانات، بما في ذلك بيانات اعتماد واجهة برمجة تطبيقات Cloudflare، من خلال الدالة `request`.

يعد المكون الإضافي Modula Image Gallery لـ WordPress عرضة لحذف الملفات بشكل تعسفي بسبب التحقق غير الكافي من مسار الملف في الدالة `ajax unzip file`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول بمستوى «مؤلف» أو أعلى استغلال هذه الثغرة لحذف ملفات تعسفية على الخادم. وقد يؤدي حذف ملفات معينة، مثل wp-config.php، إلى تنفيذ التعليمات البرمجية عن بُعد.

المكوّن الإضافي Blubrry PowerPress لـ WordPress معرض لخطر تحميل ملفات عشوائية بسبب عدم التحقق الكافي من نوع الملف. ويحدث ذلك لأن المكون الإضافي يتحقق من امتدادات الملفات، لكنه لا يوقف المعالجة عند فشل التحقق داخل الدالة `powerpress edit post`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى استغلال هذا الخلل لتحميل ملفات عشوائية على الخادم المتأثر، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

المكوّن الإضافي AI Engine الخاص بـ WordPress معرض لخطر «حقن كائنات PHP» (PHP Object Injection) من خلال عملية إزالة التسلسل (deserialization) لملفات PHAR. ويحدث ذلك بسبب إزالة التسلسل لمدخلات غير موثوق بها داخل الدالتين `rest simpleTranscribeAudio` و`rest simpleVisionQuery`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى حقن كائن PHP. ويكون تأثير هذه المشكلة محدودًا ما لم يتم تثبيت مكون إضافي أو سمة أخرى تحتوي على سلسلة حقن كائنات PHP (POP)، مما قد يسمح بإجراءات مثل الحذف التعسفي للملفات، أو استرجاع البيانات الحساسة، أو تنفيذ التعليمات البرمجية.

المكوّن الإضافي «Better Find and Replace – AI-Powered Suggestions» لـ WordPress معرض لخطر «حقن كود محدود». ويرجع ذلك إلى عدم كفاية التحقق من صحة المدخلات والقيود داخل الدالة `rtafar ajax`. يمكن للمهاجمين المصادق عليهم الذين يمتلكون صلاحيات وصول على مستوى «المشترك» أو أعلى استدعاء وظائف المكون الإضافي بشكل تعسفي وتنفيذ كود ضمن تلك الوظائف.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: المكوّن الإضافي «Duplicate Page and Post» لـ WordPress، الإصدارات الأقدم من 2.9.5 الوصف: المكوّن الإضافي «Duplicate Page and Post» لـ WordPress معرض لثغرة «حقن SQL» تعتمد على الوقت عبر المعلمة `meta key`. إن عدم كفاية تصفية المدخلات المقدمة من المستخدم والتحضير غير الملائم لاستعلامات SQL الحالية يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن استعلامات SQL إضافية في استعلامات قاعدة البيانات الحالية، مما قد يؤدي إلى استخراج معلومات حساسة. التوصيات: قم بتحديث المكون الإضافي «Duplicate Page and Post» إلى إصدار أعلى من 2.9.5.

المكوّن الإضافي AI Engine لـ WordPress معرض لخطر الوصول غير المصرح به وفقدان البيانات. ويرجع ذلك إلى عدم وجود فحص للصلاحيات في الدالتين `rest list` و`delete files`، مما يسمح للمهاجمين غير المصادق عليهم بإدراج وحذف الملفات التي أرسلها مستخدمون آخرون.

يعد المكون الإضافي AI Engine لـ WordPress عرضة لخطر تحميل ملفات عشوائية بسبب عدم وجود التحقق من صحة نوع الملف في الدالة `rest simpleFileUpload()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك وما فوقه بتحميل ملفات عشوائية إلى خادم الموقع المتأثر عند تمكين واجهة برمجة التطبيقات REST، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

المكوّن الإضافي AI Engine لـ WordPress معرض لثغرة تؤدي إلى كشف معلومات حساسة. لا تقوم نقطة نهاية واجهة برمجة التطبيقات (API) `simpleTranscribeAudio` بتقييد أنماط عناوين URL بشكل مناسب قبل استدعاء الدالة `get audio()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بقراءة ملفات عشوائية على خادم الويب، وربما تسريبها عبر تكامل واجهة برمجة تطبيقات OpenAI في المكون الإضافي.

المكوّن الإضافي Strong Testimonials لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال الحقول المخصصة للشهادات، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها.