Kinorth

المكوّن الإضافي Kalles Addons الخاص بـ WordPress معرض لخطر «حقن كائنات PHP» (PHP Object Injection) بسبب عملية إزالة التسلسل من المدخلات غير الموثوق بها. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كائن PHP. يعتمد تأثير هذه المشكلة على وجود سلسلة POP (تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية أو القيام بأعمال ضارة أخرى) داخل المكونات الإضافية أو السمات الأخرى المثبتة. في حالة وجود مثل هذه السلسلة، قد يتمكن المهاجم من حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية.

يحتوي المكون الإضافي WPeMatico RSS Feed Fetcher الخاص بـ WordPress على ثغرة مخزنة من نوع «التنفيذ البرمجي عبر المواقع» (XSS). تحدث هذه المشكلة لأن البرنامج يفشل في تنقية المدخلات وتهريب المخرجات بشكل صحيح، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية تلقائيًا عندما يزور المستخدم الصفحة المتأثرة.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح الضحية دون الحاجة إلى مصادقة.

يُعتبر قالب WordPress «Werkstatt - Creative Portfolio» عرضة لثغرة «حقن كائنات PHP» (PHP Object Injection)، وهي حالة يتم فيها فك تسلسل المدخلات غير الموثوق بها، مما يسمح للمهاجم بحقن كائن PHP. تؤثر هذه المشكلة على المستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (contributor) أو أعلى. على الرغم من عدم وجود سلسلة POP أصلية (تسلسل من الأدوات المستخدمة لتنفيذ التعليمات البرمجية) في البرنامج، فإن وجود سلسلة POP عبر مكونات إضافية أو قوالب أخرى مثبتة قد يتيح حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية عن بُعد.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة.

توجد ثغرة أمنية تتعلق بـ «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، مما يسمح للمهاجمين بتنفيذ نصوص برمجية ضارة دون الحاجة إلى المصادقة.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

تسمح ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) غير المصحوبة بمصادقة للمهاجم بتنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى المصادقة.

توجد مشكلة تتمثل في أن مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح تؤدي إلى فقدان التفويض، مما يتيح إمكانية الاستغلال.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة.

توجد ثغرة أمنية تتعلق بإدراج الملفات المحلية (LFI) دون مصادقة، مما يسمح للمهاجم بقراءة الملفات من نظام الملفات المحلي دون الحاجة إلى المصادقة.

تتعرض سمة TheFox الخاصة بـ WordPress لثغرة «التنفيذ البرمجي عبر المواقع المنعكس» (XSS)، وهي ثغرة تسمح بانعكاس البرامج النصية الخبيثة من تطبيق ويب إلى متصفح الضحية. يحدث هذا بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية إذا تم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط ضار.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة.

تحدث ثغرة «Reflected Cross-Site Scripting» (تنفذ البرمجة النصية عبر المواقع) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يتم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط.

توجد ثغرة أمنية تتعلق بتزوير الطلبات عبر المواقع (CSRF) دون مصادقة في قالب Real Estate 7 الخاص بـ WordPress. يحدث هذا بسبب عدم وجود التحقق من صحة الرمز العشوائي (nonce) أو وجود خطأ فيه — وهي آلية أمان تُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قبل المستخدم — داخل إحدى الوظائف. وهذا يسمح للمهاجم بتنفيذ إجراءات غير مصرح بها عن طريق خداع مسؤول الموقع للنقر على رابط ضار.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

يوجد ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) في البرنامج، مما يسمح للمستخدمين الذين يتمتعون بصلاحيات على مستوى «المساهم» بتنفيذ نصوص برمجية ضارة في متصفح المستخدمين الآخرين.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة.

يوجد ثغرة في البرمجة النصية عبر المواقع (XSS) دون مصادقة في معالجة المدخلات الموجهة إلى الويب. تنشأ المشكلة عن عدم صحة التحقق من صحة المدخلات وترميز المخرجات، مما يسمح بعرض المحتوى المقدم من المهاجم كنص برمجي نشط في المتصفح. يمكن للمهاجم عن بُعد حقن أحمال ضارة في المعلمات أو الحقول المكشوفة دون الحاجة إلى المصادقة. إذا تفاعل المسؤول أو المستخدم مع المحتوى المصمم خصيصًا، فقد يؤدي ذلك إلى اختطاف الجلسة، والاستيلاء على حساب المسؤول عبر ملفات تعريف الارتباط أو أرقام التجزئة المسروقة، وعمليات إعادة التوجيه الضارة.

يوجد ثغرة حقن SQL غير مصدقة بسبب عدم كفاية عملية التهرب من المعلمات التي يقدمها المستخدم وعدم الإعداد السليم لاستعلامات SQL. وهذا يسمح للمهاجمين بإلحاق استعلامات SQL إضافية بالاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات.