Khaled Alenazi

توجد مشكلة حيث يفشل المكون الإضافي في التحقق من اسم أو امتداد أو نوع الملفات المرفوعة قبل كتابتها على القرص. يسمح هذا للمهاجمين غير المصرح لهم برفع ملفات عشوائية، مثل ملفات PHP، وتنفيذ تعليمات برمجية على الخادم.

The listing-import feature fails to validate the file types extracted from uploaded ZIP archives. This allows users with management capabilities to upload arbitrary PHP files to a publicly accessible, network-shared directory, which can lead to remote code execution (RCE), a process where an attacker executes malicious commands on the host machine.

يكشف المكون الإضافي عن نص برمجي لتصدير ملفات CSV غير مصرح به، مما يؤدي إلى كشف جميع عناوين البريد الإلكتروني للمشتركين المخزنة.

The front-end Forms module fails to verify if the requester is authorized to edit a targeted user account during the `update-user` action. The plugin only performs capability checks when the submitted role is administrator or super admin. If a publicly accessible front-end form is configured to target an administrator account and maps the password to a visitor-submitted field, an unauthenticated visitor can overwrite the administrator's password to take over the account. By default, the action targets the submitting user, meaning exploitation requires the form to be specifically configured to target another account.

The plugin fails to restrict account fields during the frontend registration process. This allows unauthenticated attackers to register a new user with an arbitrary role, such as Administrator, which can lead to a full site takeover and the compromise of existing accounts.

يفشل المكون الإضافي SmilePass Selfie Login الخاص بـ WordPress في إجراء التحقق من الهوية من جانب الخادم أثناء عملية المصادقة. تسمح هذه الثغرة للمستخدمين غير المصادق عليهم بتجاوز عملية المصادقة وتسجيل الدخول كأي حساب مسجل، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول.

تسمح عمليات التحقق غير الكافية من صلاحيات المستخدم في مسارات معينة لواجهة برمجة تطبيقات REST الخاصة بالإدارة للمستخدمين الذين يتمتعون بامتيازات «مدير المتجر» (Shop Manager) بتثبيت وتفعيل مكونات إضافية عشوائية من WordPress.org. حيث يتحقق النظام بشكل خاطئ من صلاحية إدارة WooCommerce العامة فقط، بدلاً من صلاحية التثبيت المطلوبة.

يفشل المكون الإضافي في إجراء عمليات التحقق من المصادقة أو التفويض أو الرمز العشوائي (nonce) في معالج تسجيل الدخول المتاح للجمهور. وهذا يسمح للمهاجمين غير المصادق عليهم بالحصول على جلسة عمل صالحة لأي مستخدم موجود، بما في ذلك المسؤولون. بشكل افتراضي، يمكن للمهاجم الحصول على جلسة عمل بحساب المسؤول الأصلي للموقع دون الحاجة إلى أي تفاصيل حساب.

يفتقر المكون الإضافي JSON Options لـ WordPress إلى عمليات التحقق من الصلاحيات والتحقق من الرقم العشوائي (nonce) في إجراء يتم تنفيذه عند كل طلب. وهذا يسمح للمستخدمين غير المصادق عليهم بتحديث خيارات WordPress بشكل تعسفي. يمكن للمهاجم استغلال هذه الثغرة لتمكين تسجيل المستخدمين وتعيين الدور الافتراضي إلى «المسؤول»، مما يؤدي إلى تصعيد الامتيازات والاستيلاء الكامل على الموقع.

يفشل المكون الإضافي WP Social Media Login لـ WordPress في التحقق مما إذا كانت عملية تسجيل الدخول عبر وسائل التواصل الاجتماعي قد اكتملت بنجاح مع مزود الهوية قبل مصادقة الزائر. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى أي حساب مستخدم موجود، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول، عن طريق تقديم عنوان البريد الإلكتروني للمستخدم المستهدف.

يفشل المكون الإضافي في التحقق من صحة نوع أو اسم الملفات التي يتم تحميلها، ولا يفرض أي قيود على عملية التحميل من خلال عمليات التحقق من المصادقة أو الصلاحيات أو الرموز العشوائية (nonce). وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية، مثل نصوص PHP، إلى دليل يمكن الوصول إليه عبر الويب. على الخوادم التي تنفذ PHP من مسار التحميلات، قد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد.

توجد مشكلة تتمثل في فشل البرنامج في التحقق من صلاحيات المستخدم قبل تثبيت وتفعيل مكون إضافي من عنوان مختصر (slug) يقدمه المستخدم عبر إجراء AJAX محمي برقم عشوائي (nonce). وهذا يسمح للمستخدمين الذين يحملون دور «مدير المتجر» (Shop Manager)، والذين يفتقرون إلى صلاحيات الإدارة اللازمة، بتثبيت وتفعيل مكونات إضافية عشوائية، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

يؤدي عدم كفاية التحقق من صحة مدخلات المستخدم قبل معالجتها بواسطة دالة إزالة التسلسل في PHP إلى تمكين المهاجمين غير المصادق عليهم من حقن كائنات PHP عشوائية. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد في حالة وجود سلسلة أدوات مناسبة — وهي تسلسل من أجزاء التعليمات البرمجية الموجودة التي يمكن استغلالها لأغراض خبيثة — داخل البيئة المثبتة.

يفشل المكون الإضافي POUCO Import Users لـ WordPress في إجراء فحوصات الصلاحيات أو الرموز العشوائية (nonce) على إجراءات AJAX المتاحة للمستخدمين غير المصادق عليهم، والتي تُستخدم لإنشاء حسابات WordPress وتحديثها. بالإضافة إلى ذلك، يثق المكون الإضافي في قيمة الدور التي يقدمها المستخدم، مما يسمح لمهاجم غير مصادق عليه بإنشاء حساب مسؤول جديد والسيطرة الكاملة على الموقع.

تحدث هذه المشكلة لأن المكون الإضافي يفشل في التحقق من صحة طلبات إعادة تعيين كلمة المرور مقابل مفتاح إعادة التعيين أو هوية مقدم الطلب. بالإضافة إلى ذلك، يقوم المكون الإضافي بإنشاء جلسات مصادقة استنادًا إلى بيانات تسجيل دخول غير متحقق منها تابعة لجهات خارجية. وهذا يسمح للمهاجمين غير المصادق عليهم بإعادة تعيين كلمات المرور لأي مستخدم أو تسجيل الدخول كأي حساب موجود، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول، مما يؤدي إلى الاستيلاء الكامل على الموقع.

توجد مشكلة تتعلق بتحميل الملفات بشكل تعسفي بسبب عدم وجود التحقق من صحة نوع الملف في وظيفة التحميل. يتم تسجيل نقطة نهاية خدمة WPL I/O على خطاف init العام في WordPress دون إجراء فحص للصلاحيات، وتعتمد على بيانات اعتماد API ثابتة يتم توفيرها من قبل المكون الإضافي (`api key` و`api secret`) والتي تكون متطابقة في جميع عمليات التثبيت. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات قابلة للتنفيذ، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

يفشل معالج طلبات تسجيل المواقع في التحقق من هوية الطالب عندما تكون مصادقة كلمة المرور معطلة للحساب المستهدف. وهذا يسمح لمهاجم غير مصدق عليه بالحصول على جلسة مصادقة صالحة لذلك الحساب، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول، عن طريق تحديد اسم تسجيل الدخول في طلب تسجيل واحد.

توجد ثغرة في عملية المصادقة تسمح بالاستيلاء على حساب المسؤول. تحدث هذه المشكلة لأن الدالة `um reset password process hook()` تفشل في إجراء التحقق من جانب الخادم للتأكد من إتمام خطوة التحقق من صحة رمز OTP. وبدلاً من ذلك، تعتمد على قيمة `form nonce` عامة يتم إرسالها إلى الزوار غير المصادق عليهم عبر كائن JavaScript `moumprvar` في صفحة إعادة تعيين كلمة المرور في Ultimate Member. يمكن لمهاجم غير مصدق أن يزود معلمة `username b` خاضعة للتحكم لاستهداف أي مستخدم في WordPress، بغض النظر عن دوره، دون الحاجة إلى جلسة OTP تم التحقق من صحتها. وهذا يسمح للمهاجم بالحصول على رابط إعادة تعيين كلمة المرور في رأس `Location` 302 والسيطرة الكاملة على الحساب. ويتطلب ذلك أن يكون تكامل نموذج إعادة تعيين كلمة مرور Ultimate Member نشطًا وألا يكون المكون الإضافي مهيئًا لإعادة التعيين عبر الهاتف فقط.

يفشل المكون الإضافي في ربط رموز الوصول OAuth بمستخدم WordPress محدد. ونتيجة لذلك، يقبل النظام أي رمز صالح كجلسة عمل للمسؤول. وهذا يسمح للمهاجمين غير المصادق عليهم الذين يكملون تدفق OAuth العام بتنفيذ أدوات MCP ذات الامتيازات باستخدام صلاحيات المسؤول، مما يتيح لهم القيام بأعمال مثل إنشاء مستخدمين عشوائيين ورفع مستوى الأدوار.

توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق مما إذا كانت فئة العضوية المقدمة أثناء التسجيل العام من بين الفئات المسموح بها في نموذج التسجيل. وهذا يسمح للمستخدمين غير المصادق عليهم بالتسجيل في أي فئة عضوية منشورة والحصول على دور المستخدم المرتبط بها، مما قد يمنحهم امتيازات المسؤول إذا كانت هذه الفئة متاحة.