Johannes Skamletz

يُعتبر المكون الإضافي YANewsflash لـ WordPress عرضة لـ «تزوير الطلبات بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجوده بشكل غير صحيح في الصفحة `yanewsflash/yanewsflash.php`. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء ما، مثل النقر على رابط.

المكوّن الإضافي «Latest Post Accordian Slider» لـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة `lpaccordian`. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء ما، مثل النقر على رابط.

المكوّن الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه على صفحة `lsms admin`. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية خبيثة عبر طلب مزور إذا تمكنوا من خداع مسؤول الموقع لتنفيذ إجراء ما، مثل النقر على رابط.

المكوّن الإضافي Avishi WP PayPal Payment Button الخاص بـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ في التحقق منه في الصفحة `/avishi-wp-paypal-payment-button/index.php`. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء ما، مثل النقر على رابط.

المكوّن الإضافي معرض لخطر التزوير بين المواقع (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة ’zuppler-online-ordering-options‘. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء ما، مثل النقر على رابط.

المكوّن الإضافي Attachment Manager لـ WordPress معرض لخطر الحذف التعسفي للملفات بسبب التحقق غير الكافي من مسار الملف داخل الدالة `handle actions()`. وهذا يسمح للمهاجمين غير المصادق عليهم بحذف ملفات عشوائية على الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في حالة حذف ملفات حساسة، مثل `wp-config.php`.

المكوّن الإضافي Restrict File Access لـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة ’restrict-file-access‘. وهذا يسمح للمهاجمين غير المصادق عليهم بحذف ملفات عشوائية من الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في حالة حذف ملف مهم، مثل `wp-config.php`، من خلال طلب مزور، يتم إطلاقه عن طريق حث مسؤول الموقع على القيام بإجراء ما.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: ProcessingJS لـ WordPress، الإصدارات 1.2.2 وما قبلها الوصف: تنشأ المشكلة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم في الرمز المختصر `pjs4wp`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يصل المستخدم إلى صفحة تم حقنها. التوصيات: بالنسبة للإصدارات 1.2.2 والإصدارات الأقدم، قم بالتحديث إلى إصدار أعلى من 1.2.2 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى الرمز القصير `pjs4wp` لمنع أي استغلال محتمل.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: المكوّن الإضافي yContributors لإصدارات WordPress حتى الإصدار 0.5، بما في ذلك هذا الإصدار الوصف: تتعلق المشكلة بتزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه على صفحة ”yContributors“. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية خبيثة عبر طلب مزور، شريطة أن يتمكنوا من خداع مسؤول الموقع لتنفيذ إجراء معين، مثل النقر على رابط. التوصيات: بالنسبة لمكوّن yContributors الإضافي لإصدارات WordPress حتى الإصدار 0.5 بما في ذلك، يُنصح بتعطيل المكوّن الإضافي حتى يتوفر تصحيح لمنع الاستغلال. قم بتقييد الوصول إلى صفحة «yContributors» لتقليل مخاطر الاستغلال. تجنب القيام بأي إجراءات يمكن أن يتم تشغيلها بواسطة طلب مزور، مثل النقر على روابط من مصادر غير موثوقة، حتى يتم حل المشكلة.

تتعلق المشكلة بـ ”تزوير الطلبات عبر المواقع“ (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة ’ef settings submenu‘. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء ما، مثل النقر على رابط.

تتعلق المشكلة بـ XSS المخزّن (Stored Cross-Site Scripting) عبر الرمز المختصر ’kkytv‘ الخاص بالمكوّن الإضافي، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النص البرمجي فيها.

تسمح هذه الثغرة للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مشترك» أو أعلى بقراءة محتوى ملفات عشوائية على الخادم، والتي قد تحتوي على معلومات حساسة، من خلال الدالة `output()`.

تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة «yougler-plugin.php». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث إعدادات المكون الإضافي من خلال طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء ما، مثل النقر على رابط.

تتعلق المشكلة بـ ”تزوير الطلبات عبر المواقع“ (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في صفحة ’xisearch-key-config‘. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط.

تتعلق المشكلة بثغرة «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة ’zen-social-sticky/zen-sticky-social.php‘. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط.

تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في صفحة «url shortener settings». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء معين، مثل النقر على رابط.

تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة ”stats/stats.php“. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء معين، مثل النقر على رابط.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات المكون الإضافي Audio Comments حتى الإصدار 1.0.4 بما في ذلك الوصف: ترتبط المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة «audio-comments/audior-settings.php». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط. التوصيات: بالنسبة للإصدارات حتى الإصدار 1.0.4 بما في ذلك، قم بالتحديث إلى الإصدار 1.0.5 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى الصفحة ’audio-comments/audior-settings.php‘ لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: المكوّن الإضافي AlT Monitoring لـ WordPress، الإصدارات حتى الإصدار 1.0.3 بما في ذلك الوصف: تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الصفحة «ALT Monitoring edit». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط. التوصيات: بالنسبة للإصدارات حتى الإصدار 1.0.3 بما في ذلك، قم بالتحديث إلى إصدار يتضمن التحقق من صحة الرقم العشوائي (nonce) اللازم لمنع هجمات تزوير الطلبات عبر المواقع. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الصفحة ’ALT Monitoring edit‘ لتقليل مخاطر الاستغلال.

تتعلق المشكلة بـ «التزوير بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجوده بشكل غير صحيح في صفحة «alink-tap». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الإعدادات وإدخال نصوص برمجية ويب ضارة عبر طلب مزور، شريطة أن يتمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط.