João Pedro S Alcântara

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Kalles Addons الأقدم من 1.0.7 **الوصف** المكوّن الإضافي Kalles Addons الخاص بـ WordPress معرض لخطر «حقن كائنات PHP» (PHP Object Injection) بسبب عملية إزالة التسلسل من المدخلات غير الموثوق بها. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كائن PHP. يعتمد تأثير هذه المشكلة على وجود سلسلة POP (تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية أو القيام بأعمال ضارة أخرى) داخل المكونات الإضافية أو السمات الأخرى المثبتة. في حالة وجود مثل هذه السلسلة، قد يتمكن المهاجم من حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.6.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WPeMatico RSS Feed Fetcher الأقدم من 2.8.18 **الوصف** يحتوي المكون الإضافي WPeMatico RSS Feed Fetcher الخاص بـ WordPress على ثغرة مخزنة من نوع «التنفيذ البرمجي عبر المواقع» (XSS). تحدث هذه المشكلة لأن البرنامج يفشل في تنقية المدخلات وتهريب المخرجات بشكل صحيح، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية تلقائيًا عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث WPeMatico RSS Feed Fetcher إلى إصدار أحدث من 2.8.17.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Kids Life | Children School WordPress، الإصدارات الأقدم من 5.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بتحديث Kids Life | Children School WordPress إلى إصدار أحدث من 5.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NativeChurch الأقدم من 4.8.8.3 **الوصف** توجد ثغرة أمنية تتعلق بـ «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجمين بتنفيذ نصوص برمجية ضارة دون الحاجة إلى المصادقة. **التوصيات** تحديث NativeChurch إلى إصدار أحدث من 4.8.8.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات LMS الأقدم من 9.8 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح الضحية دون الحاجة إلى مصادقة. **التوصيات** التحديث إلى إصدار أحدث من 9.7.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Werkstatt الأقدم من 4.8.4 **الوصف** يُعتبر قالب WordPress «Werkstatt - Creative Portfolio» عرضة لثغرة «حقن كائنات PHP» (PHP Object Injection)، وهي حالة يتم فيها فك تسلسل المدخلات غير الموثوق بها، مما يسمح للمهاجم بحقن كائن PHP. تؤثر هذه المشكلة على المستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (contributor) أو أعلى. على الرغم من عدم وجود سلسلة POP أصلية (تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية) في البرنامج، فإن وجود سلسلة POP عبر مكونات إضافية أو قوالب أخرى مثبتة قد يتيح حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية عن بُعد. **التوصيات** قم بالتحديث إلى إصدار أحدث من 4.8.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات برنامج «Automotive Car Dealership Business» الأقدم من الإصدار 13.3.4 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة. **التوصيات** التحديث إلى إصدار أحدث من الإصدار 13.3.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Link Whisper Free الأقدم من الإصدار 0.9.5 **الوصف** تسمح ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) غير المصحوبة بمصادقة للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى المصادقة. **التوصيات** تحديث Link Whisper Free إلى الإصدار 0.9.5 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Jobify الأقدم من 4.3.3 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة. **التوصيات** التحديث إلى إصدار أحدث من 4.3.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Real Estate 7 السابقة للإصدار 3.5.10 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة. **التوصيات** قم بتحديث Real Estate 7 إلى الإصدار 3.5.10 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WofficeIO Woffice، الإصدارات الأقدم من 5.4.33 **الوصف** توجد مشكلة تتمثل في أن مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح تؤدي إلى فقدان التفويض، مما يتيح إمكانية الاستغلال. **التوصيات** تحديث WofficeIO Woffice إلى الإصدار 5.4.33 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Pearl - إصدارات Corporate Business الأقدم من 3.4.11 **الوصف** توجد ثغرة أمنية تتعلق بإدراج الملفات المحلية (LFI) دون مصادقة، مما يسمح للمهاجم بقراءة الملفات من نظام الملفات المحلي دون الحاجة إلى المصادقة. **التوصيات** تحديث برنامج Pearl - Corporate Business إلى إصدار أحدث من 3.4.10.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Automotive Listings الأقدم من 18.7 **الوصف** تحدث ثغرة «Reflected Cross-Site Scripting» (تنفذ البرمجة النصية عبر المواقع) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يتم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط. **التوصيات** قم بالتحديث إلى إصدار أحدث من 18.6.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات TheFox الأقدم من 3.9.77 **الوصف** تتعرض سمة TheFox الخاصة بـ WordPress لثغرة «التنفيذ البرمجي عبر المواقع المنعكس» (XSS)، وهي ثغرة تسمح بانعكاس البرامج النصية الخبيثة من تطبيق ويب إلى متصفح الضحية. يحدث هذا بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية إذا تم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط ضار. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.9.76.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Real Estate 7 السابقة للإصدار 3.6.0 **الوصف** توجد ثغرة أمنية تتعلق بتزوير الطلبات عبر المواقع (CSRF) دون مصادقة في قالب Real Estate 7 الخاص بـ WordPress. يحدث هذا بسبب عدم وجود التحقق من صحة الرمز العشوائي (nonce) أو وجود خطأ فيه — وهي آلية أمان تُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قبل المستخدم — داخل إحدى الوظائف. وهذا يسمح للمهاجم بتنفيذ إجراءات غير مصرح بها عن طريق خداع مسؤول الموقع للنقر على رابط ضار. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.5.9.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Neve PRO الأقدم من 3.1.3 **الوصف** يوجد ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) في البرنامج، مما يسمح للمستخدمين الذين يتمتعون بصلاحيات على مستوى «المساهم» بتنفيذ نصوص برمجية ضارة في متصفح المستخدمين الآخرين. **التوصيات** تحديث Neve PRO إلى الإصدار 3.1.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات SeedProd Pro الأقدم من 6.19.5 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بتحديث SeedProd Pro إلى الإصدار 6.19.5 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Blog2Social الأقدم من 8.9.3 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة. **التوصيات** تحديث Blog2Social إلى الإصدار 8.9.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Master Slider الأقدم من 3.11.3 **الوصف** يوجد ثغرة في البرمجة النصية عبر المواقع (XSS) دون مصادقة في معالجة المدخلات الموجهة إلى الويب. تنشأ المشكلة عن عدم صحة التحقق من صحة المدخلات وترميز المخرجات، مما يسمح بعرض المحتوى المقدم من المهاجم كنص برمجي نشط في المتصفح. يمكن للمهاجم عن بُعد حقن أحمال ضارة في المعلمات أو الحقول المكشوفة دون الحاجة إلى المصادقة. إذا تفاعل المسؤول أو المستخدم مع المحتوى المصمم خصيصًا، فقد يؤدي ذلك إلى اختطاف الجلسة، والاستيلاء على حساب المسؤول عبر ملفات تعريف الارتباط أو أرقام التجزئة المسروقة، وعمليات إعادة التوجيه الضارة. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Real Estate 7 السابقة للإصدار 3.6.0 **الوصف** يوجد ثغرة حقن SQL غير مصدقة بسبب عدم كفاية عملية التهرب من المعلمات التي يقدمها المستخدم وعدم الإعداد السليم لاستعلامات SQL. وهذا يسمح للمهاجمين بإلحاق استعلامات SQL إضافية بالاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** تحديث Real Estate 7 إلى إصدار أحدث من 3.5.9.