Jack Pas

توجد مشكلة تتعلق بالتحييد غير الصحيح لتسلسلات CRLF (حقن CRLF)، حيث لا تتم معالجة أحرف العودة إلى البداية (CR) وتغذية السطر (LF) بشكل صحيح. يحدث هذا لأن الدالة `get reply to address()` تعالج اسم العرض الخاص بـ «Reply-To» باستخدام سياق `’notification‘` بدلاً من `’notification-reply-to‘`، مما يتجاوز عملية التحقق من صحة عنوان البريد الإلكتروني. بالإضافة إلى ذلك، تحتفظ الدالة `wpforms sanitize textarea field()` بأحرف CR/LF التي لا يتم إزالتها قبل إضافتها إلى سلسلة رأس البريد `Reply-To:` الأولية. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة عن طريق حقن رؤوس بريد إلكتروني عشوائية، مثل `Bcc:`، في رسائل البريد الإلكتروني الإخطارية الصادرة لإرسال نسخ مخفية من الرسائل بصمت إلى عنوان يتحكم فيه المهاجم. يكون هذا الاستغلال ممكنًا إذا تم تكوين إشعار النموذج لاستخدام حقل نص الفقرة (textarea) كاسم عرض «Reply-To» عبر علامة ذكية (Smart Tag).

يوجد ثغرة في تجاوز إجراءات التفويض، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى إنشاء مهام استيراد RSS وتنفيذها، وحذف جميع المنشورات المرتبطة بأي مهمة استيراد قسريًّا، ومسح سجلات أخطاء الاستيراد، وتعداد أسماء `meta key` للمنشورات ومصطلحات التصنيف. ويحدث ذلك بسبب تسرب الرقم العشوائي (nonce) المطلوب إلى أي مستخدم يتمتع بإمكانية `edit posts` من خلال البرنامج النصي المُترجم `feedzyjs` الذي يتم إدراجه في محرر الكتل.

يمكن لمهاجم عن بُعد غير مصدَّق هويته تنفيذ حقن SQL أعمى عبر نقطة نهاية تسجيل الدخول. لا يتم تنقية حقل `username` بشكل صحيح قبل دمجه في استعلام SQL، مما يسمح للمهاجم بتجاوز المصادقة وتسجيل الدخول كمسؤول دون كلمة مرور صالحة. بالإضافة إلى ذلك، يمكن للمهاجمين استعادة تجزئات كلمات المرور المخزنة حرفًا حرفًا من خلال تحليل استجابات أخطاء تسجيل الدخول المختلفة.

المكوّن الإضافي Media Library Assistant الخاص بـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو نوع من الهجمات يقوم فيها مستخدم غير مصرح له بخداع الضحية لتنفيذ إجراءات لم تكن تنوي القيام بها. يحدث هذا بسبب عدم وجود التحقق من الرمز العشوائي (nonce) — وهو رمز أمان يُستخدم للتأكد من شرعية الطلب — ضمن معالجات الإجراءات الجماعية في علامة التبويب «الإعدادات». ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم خداع المسؤول لتنفيذ عمليات حذف أو تعديل أو مسح جماعية على إعدادات المكون الإضافي وبيانات تعريف المرفقات من خلال طلب مزور.

يوجد مرجع مباشر غير آمن للكائنات في الدالة `action get event data` بسبب عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى تعداد معرّفات الفترات الزمنية لقراءة كائن WP Post الكامل لمشاركات mp-event المسودة والمعلقة والخاصة التي تنتمي إلى مستخدمين آخرين. ويشمل ذلك الوصول إلى `post content` و`post excerpt` و`post status` و`post author`، بالإضافة إلى الأوصاف الأولية المرتبطة بالفترات الزمنية.

المكوّن الإضافي معرض لتعديل البيانات دون إذن، وذلك لأن الدالة `Live Action::reset()` تفتقر إلى فحص الصلاحيات. ترتبط هذه الدالة بإجراء `init` في WordPress ويتم تشغيلها عند توفير معلمات GET `post` و`action=elementor` دون مصادقة أو التحقق من الرقم العشوائي (nonce). ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم الكتابة فوق محتوى ` elementor data` لأي نوع منشور مخصص `elementskit widget` من خلال الوصول إلى عنوان URL مصمم خصيصًا لهذا الغرض، مما يؤدي إلى الاستبدال الدائم للتصميمات المخصصة والنصوص والتكوينات بقالب فارغ.

يمكن تنفيذ هجوم البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) عبر سمات `className` و`classHook` و`blockId` في كتلة ”Add to Cart“ (”essential-blocks/add-to-cart“). تحدث المشكلة في الدالة `render callback()` بسبب عدم كفاية عملية التهرب من الإخراج عند وضع هذه السمات في سمات HTML الخاصة بالفئة ومعرف البيانات باستخدام `sprintf()` و`implode()` دون استخدام التهرب `esc attr()`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

المكوّن الإضافي WP Editor الخاص بـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتمكن من خلاله المهاجم من خداع الضحية لتنفيذ إجراءات لم تكن في نيتها. يحدث هذا لأن الدالتين `add plugins page()` و`add themes page()` تفتقران إلى التحقق من الرمز العشوائي (nonce) (وهو رمز فريد يُستخدم لمنع هجمات إعادة التشغيل). ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم استبدال ملفات PHP الخاصة بالمكونات الإضافية والسمات بأي شكل من الأشكال برموز برمجية ضارة عن طريق حث مسؤول الموقع على النقر على رابط مزور.

يعاني المكون الإضافي من ثغرة تتعلق بفقدان التفويض بسبب عدم إجراء فحوصات الصلاحيات على العديد من معالجات AJAX. نقاط النهاية المتأثرة هي ’wp statistics get filters‘ و'wp statistics getPrivacyStatus' و'wp statistics updatePrivacyStatus' و'wp statistics dismiss notices'. تقوم معالجات AJAX هذه بالتحقق من رقم عشوائي (nonce) لـ `wp rest`، لكنها تفشل في فرض عمليات التحقق مثل `current user can()` أو طريقة `User::Access()`. ونتيجة لذلك، يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى الوصول إلى بيانات التحليلات الحساسة، بما في ذلك معرّفات المستخدمين وأسماء المستخدمين وعناوين البريد الإلكتروني وبيانات تتبع الزوار، بالإضافة إلى استرداد وتعديل حالة الامتثال لتدقيق الخصوصية وإغلاق الإشعارات الإدارية.

المكوّن الإضافي Loco Translate الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المنعكس» (Reflected Cross-Site Scripting) من خلال المعلمة `update href`، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، مما قد يؤدي إلى تنفيذها إذا تم خداع المستخدم للقيام بإجراء مثل النقر على رابط ضار. المعلمة المعرضة للخطر هي `update href`.

المكون الإضافي SureForms معرض لمشكلة «تجاوز مبلغ الدفع». يحدث هذا لأن الدالة `create payment intent()` تعتمد على معلمة يتحكم فيها المستخدم للتحقق من صحة الدفع. وهذا يسمح للمهاجمين غير المصادق عليهم بالتحايل على عملية التحقق من صحة مبلغ الدفع وإنشاء نوايا دفع أو اشتراك بأسعار أقل من اللازم عن طريق تعيين المعلمة `form id` على القيمة 0.

المكوّن الإضافي Jupiter X Core لـ WordPress معرض لخطر تحميل الملفات بشكل غير محدود بسبب عدم وجود آلية ترخيص في الدالة `import popup templates()` وعدم كفاية التحقق من أنواع الملفات داخل الدالة `upload files()`. وهذا يسمح للمهاجمين الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) أو أعلى بتحميل ملفات قد تكون خطيرة. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد (Remote Code Execution) على الخوادم المُهيأة لتنفيذ ملفات .phar كملفات PHP، أو إلى تنفيذ البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) من خلال تحميل ملفات .svg أو .dfxp أو .xhtml.

يُعتبر المكون الإضافي LearnPress – WordPress LMS عرضة لحذف إجابات أسئلة الاختبارات دون إذن. ويرجع ذلك إلى وجود ثغرة في فحص الصلاحيات داخل الدالة `delete question answer()` في فئة `EditQuestionAjax`. حيث يقوم الموزع `AbstractAjax::catch lp ajax()` بالتحقق من رقم wp rest العشوائي، لكنه لا يجري فحصًا باستخدام الدالة `current user can()`. بالإضافة إلى ذلك، لا تقوم الطريقة `QuestionAnswerModel::delete()` إلا بالتحقق من الحد الأدنى لعدد الإجابات دون التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحذف خيارات الإجابة من أي سؤال اختبار على الموقع.

يُعتبر ملحق LearnPress – WordPress LMS عرضة لتشغيل إشعارات البريد الإلكتروني دون إذن. ويحدث ذلك بسبب عدم وجود فحوصات للصلاحيات في جميع الوظائف العشر الموجودة ضمن فئة `SendEmailAjax`. يقوم موزع `AbstractAjax::catch lp ajax()` بالتحقق من رقم `wp rest` العشوائي (nonce)، لكنه لا يجري فحص `current user can()` قبل إرسال الطلب إلى وظائف المعالجة. يتم تضمين رقم `wp rest` العشوائي في جافا سكريبت الواجهة الأمامية لجميع المستخدمين المصادق عليهم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتشغيل إخطارات بريد إلكتروني عشوائية إلى المسؤولين والمعلمين والمستخدمين. قد يؤدي ذلك إلى إغراق البريد الإلكتروني، والهندسة الاجتماعية، وانتحال صفة المسؤولين في اتخاذ القرارات الإدارية المتعلقة بطلبات المدربين.

يحتوي المكون الإضافي WordPress Download Manager على ثغرة أمنية ناتجة عن مفتاح Cron مبرمج بشكل ثابت يُستخدم في الدالتين `deleteExpired()` و`clearTempDataCPCron()`. وهذا يسمح للمهاجمين غير المصادق عليهم بتشغيل مهام Cron هذه، مما قد يؤدي إلى حذف المنشورات منتهية الصلاحية ومسح ذاكرة التخزين المؤقت.

يحتوي المكوّن الإضافي «Event Tickets and Registration» لـ WordPress على ثغرة تسمح بالتحايل على عملية دفع ثمن التذاكر. لا تتحقق نقطة نهاية واجهة برمجة التطبيقات (API) `/wp-json/tribe/tickets/v1/commerce/free/order` بشكل صحيح مما إذا كان نوع التذكرة يجب أن يكون مجانيًا، مما يسمح للمهاجمين بالحصول على تذاكر مدفوعة دون سداد المبلغ. ويؤثر ذلك على إيرادات الجهة المستهدفة. تسمح هذه الثغرة للمهاجمين غير المصادق عليهم بالحصول على تذاكر مدفوعة دون دفع ثمنها.

المكوّن الإضافي User Registration & Membership لـ WordPress معرض لخطر حقن SQL عبر المعلمة `s`. ويرجع ذلك إلى عدم كفاية عملية الهروب من المدخلات التي يقدمها المستخدم، بالإضافة إلى الإعداد غير السليم لاستعلامات SQL الحالية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى بإلحاق استعلامات SQL إضافية بالاستعلامات الموجودة، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Beaver Builder – مكون إضافي لإنشاء الصفحات في WordPress، الإصدارات الأقدم من 2.9.2.1 الوصف: المكون الإضافي Beaver Builder – WordPress Page Builder لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع (Cross-Site Scripting) المنعكس» بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها إذا تم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط. تحدث هذه الثغرة الأمنية عبر المعلمة `fl builder`. التوصيات: قم بتحديث المكون الإضافي Beaver Builder – WordPress Page Builder إلى إصدار أحدث من 2.9.2.1.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات All-in-One WP Migration and Backup حتى الإصدار 7.97 الوصف: المكوّن الإضافي All-in-One WP Migration and Backup الخاص بـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع (XSS) المخزّن» من خلال وظيفة الاستيراد. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول بحقن نصوص برمجية ويب تعسفية في الصفحات. تؤثر هذه الثغرة الأمنية فقط على التثبيتات متعددة المواقع والتثبيتات التي تم فيها تعطيل `unfiltered html`. التوصيات: قم بالتحديث إلى الإصدار 7.98 أو أحدث لإصلاح مشكلة الأمان.

توجد ثغرة في قسم «صورة المنتج» (Product Image) في واجهة الإدارة الخلفية لـ VirtueMart، حيث يمكن للمهاجمين الذين تمت مصادقتهم تحميل ملفات بامتدادات عشوائية. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد أو آثار أمنية أخرى، اعتمادًا على تكوين الخادم.