Krugov Artyom

The Live Composer WordPress plugin before 2.1.24 does not sanitise and escape some of its page-builder module settings before outputting them, allowing users with access to the builder (Administrator by default) to inject arbitrary JavaScript that executes when the affected page is viewed by any visitor; this has impact even on administrators where the unfiltered html capability is disallowed, e.g. in multisite setups.

The Live Composer WordPress plugin before 2.1.24 does not sanitise and escape some of its staff member settings before outputting them in pages, which could allow high-privilege users such as administrators to perform Stored Cross-Site Scripting attacks even when the unfiltered html capability is disallowed (e.g. in multisite setups).

The Live Composer WordPress plugin before 2.1.24 does not sanitise and escape some of its module settings before outputting them in an href attribute, which could allow high-privilege users such as administrators to perform Stored Cross-Site Scripting attacks even when the unfiltered html capability is disallowed (e.g. in multisite setups).

The Live Composer WordPress plugin before 2.1.24 does not sanitise and escape some of its Button module settings before outputting them on the front end, which could allow high-privilege users such as administrators to perform Stored Cross-Site Scripting attacks even when the unfiltered html capability is disallowed (e.g. in multisite setups).

يؤدي عدم تعقيم وتطهير إعدادات slug لأنواع المنشورات المخصصة المستخدمة في روابط الواجهة الأمامية إلى السماح للمستخدمين ذوي الصلاحيات العالية، مثل المسؤولين، بتنفيذ هجمات Cross-Site Scripting (XSS) المخزنة. يستمر هذا الخلل حتى عند تعطيل صلاحية `unfiltered html` ، وهو أمر شائع في إعدادات المواقع المتعددة (multisite). يحدث XSS المخزن عندما يتم تخزين نص برمجى خبيث بشكل دائم على الخادم المستهدف ويتم تقديمه لمستخدمين آخرين.

تفشل الإضافة في تعقيم وتطهير أحد إعدادات مواصفات الوظيفة قبل عكسه في صفحة إعدادات منطقة المسؤول. يسمح هذا للمستخدمين الذين لديهم صلاحيات الإدارة، مثل المسؤولين، بتخزين حمولة ضارة يتم تنفيذها في متصفح أي مسؤول يفتح الصفحة لاحقاً. يؤدي هذا إلى حدوث ثغرة Stored Cross-Site Scripting (XSS)، وهي حالة يتم فيها تخزين النصوص البرمجية الضارة بشكل دائم على الخادم المستهدف ويتم تقديمها لمستخدمين آخرين.

Stored Cross-Site Scripting (XSS) occurs because the plugin fails to escape certain settings field values before they are displayed on the admin settings page. This allows high-privilege users, such as administrators, to execute malicious scripts. The issue is particularly significant in multisite installations where administrators lack the `unfiltered html` capability, which normally prevents the execution of unfiltered HTML and scripts.

An issue exists in the administrative image-browsing feature where a directory path is not properly restricted to the site boundaries. This allows authenticated users with high privileges, such as single-site administrators and multisite sub-site administrators, to perform path traversal. Path traversal is a technique used to access files and directories that are stored outside the intended web root folder by manipulating file paths.

Insufficient input sanitization and output escaping in the plugin allow high-privilege users, such as administrators, to perform Stored Cross-Site Scripting (XSS) attacks. This occurs when settings are outputted on an admin page, enabling the injection of arbitrary web scripts that execute when a user accesses the affected page. This issue specifically impacts multi-site installations and environments where the `unfiltered html` capability is disabled.

The plugin fails to properly escape the `after-label` value of the slider. This allows users with the Author role or higher to store a malicious payload that is subsequently re-injected into the Document Object Model (DOM) by a bundled client-side script. This can lead to the execution of arbitrary code in the browser of any user, including administrators, who views the affected slider.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة بسبب عدم تنقية حقل نص صورة الحملة وتهريبه بشكل صحيح قبل عرضه في سمة HTML. وهذا يسمح للمستخدمين الذين يتمتعون بدور إدارة الحملات ذي الصلاحيات العالية بتنفيذ نصوص برمجية ضارة على صفحة الحملة الأمامية.

يؤدي عدم كفاية عملية التنقية (sanitization) والهروب (escaping) لإعداد «المكان-الفئة» (place-category) قبل عرضه على صفحة الإدارة إلى تمكين المستخدمين ذوي الامتيازات العالية، مثل المحررين ومن هم أعلى منهم، من تنفيذ هجمات «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting أو XSS). ويحدث هذا حتى في البيئات التي يتم فيها تعطيل الإمكانية `unfiltered html`، مثل إعدادات المواقع المتعددة. ويُعد «التنفيذ البرمجي عبر المواقع المخزّن» نوعًا من الهجمات التي يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف.

يفشل المكون الإضافي في تنقية المعلمة وتشفيرها بشكل صحيح قبل إعادتها إلى الصفحة. يؤدي ذلك إلى حدوث ثغرة ”Reflected Cross-Site Scripting“ (XSS)، وهي ثغرة يتم من خلالها انعكاس البرامج النصية الخبيثة من تطبيق الويب إلى متصفح المستخدم، مما قد يُستغل ضد المستخدمين ذوي الصلاحيات العالية مثل المسؤولين.

لا يقوم المكون الإضافي WP Lightbox 2 لـ WordPress بتنقية بعض الإعدادات وتشفيرها بشكل صحيح. وقد يتيح ذلك للمستخدمين ذوي الصلاحيات العالية، مثل المسؤولين، تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (XSS). ويحدث ذلك حتى عند تعطيل الإمكانية `unfiltered html`، على سبيل المثال، في تكوين متعدد المواقع. وترتبط هذه المشكلة بعدم كفاية التحقق من صحة المدخلات، مما قد يسمح بإدخال نصوص برمجية ضارة وتنفيذها داخل التطبيق.

لا يقوم المكون الإضافي «Reading progressbar» لـ WordPress بتنقية بعض الإعدادات وتشفيرها بشكل صحيح. وقد يتيح ذلك للمستخدمين ذوي الصلاحيات العالية، مثل المسؤولين، تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (XSS). ويحدث ذلك حتى عند تعطيل الإمكانية `unfiltered html`، على سبيل المثال، في إعدادات المواقع المتعددة. تحدث هجمات XSS المخزنة عندما يتم تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف، مما يسمح بتسليمها إلى المستخدمين الآخرين الذين يصلون إلى المحتوى المتأثر.

لا يقوم البرنامج بتنقية المعلمات وتشفيرها بشكل صحيح عند عرضها على الصفحة. وقد يتيح ذلك للمستخدمين الذين يتمتعون بدور «مساهم» أو أعلى تنفيذ هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات المكون الإضافي AI ChatBot for WordPress الأقدم من 7.1.0 الوصف: لا يقوم المكون الإضافي AI ChatBot for WordPress بتنقية بعض إعداداته أو إخراجه من السلسلة. قد يتيح ذلك للمستخدمين ذوي الصلاحيات العالية، مثل المسؤولين، تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة، حتى عند تعطيل الخاصية `unfiltered html`، على سبيل المثال، في إعداد متعدد المواقع. التوصيات: قم بالتحديث إلى الإصدار 7.1.0 أو أحدث.

لا يقوم المكون الإضافي بالتحقق من صحة بعض خيارات الكتل ولا يطبق عليها إجراءات التهرب قبل عرضها في صفحة أو منشور، مما قد يسمح للمستخدمين الذين يتمتعون بامتيازات «مساهم» أو أعلى بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع المخزنة» (XSS).

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: المكوّن الإضافي «Contact Form Plugin» لـ WordPress، الإصدارات الأقدم من 1.1.29 الوصف: تتعلق المشكلة بمكوّن Contact Form Plugin الإضافي لـ WordPress، حيث لا يتم تنقية بعض الإعدادات وتفاديها بشكل صحيح، مما قد يسمح للمستخدمين ذوي الامتيازات العالية، مثل المساهمين، بتنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. التوصيات: بالنسبة للإصدارات الأقدم من 1.1.29، قم بالتحديث إلى الإصدار 1.1.29 أو أحدث لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى إعدادات المكون الإضافي لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات WP Map Block الأقدم من 2.0.3 الوصف: تتعلق المشكلة بمكوّن WordPress الإضافي WP Map Block، الذي لا يقوم بالتحقق من صحة بعض خيارات الكتلة الخاصة به أو تصفيةها قبل عرضها في صفحة أو منشور حيث يتم تضمين الكتلة. وقد يتيح ذلك للمستخدمين الذين يتمتعون بصفة «مساهم» أو أعلى تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. التوصيات: بالنسبة لإصدارات WP Map Block الأقدم من 2.0.3، قم بالتحديث إلى الإصدار 2.0.3 أو أحدث لحل المشكلة. كحل مؤقت، يُنصح بتقييد استخدام المكون الإضافي WP Map Block حتى يتم تطبيق تصحيح، خاصةً بالنسبة للمستخدمين الذين يحملون دور «مساهم» أو أعلى.