Krzysztof Zając

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات ARForms الأقدم من 1.8.6 **الوصف** المكوّن الإضافي ARForms الخاص بـ WordPress معرض لخطر «حقن كائنات PHP» (PHP Object Injection) بسبب عملية إزالة التسلسل (deserialization) للمدخلات غير الموثوق بها الواردة من عمليات إرسال النماذج. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كائن PHP. وعلى الرغم من عدم وجود سلسلة POP (وهي سلسلة من الأدوات المستخدمة لتنفيذ تعليمات برمجية عشوائية أثناء عملية إزالة التسلسل) داخل المكون الإضافي نفسه، إلا أنه يمكن استغلال هذه الثغرة إذا كان هناك مكون إضافي أو سمة أخرى مثبتة توفر سلسلة POP. وفي مثل هذه الحالات، يمكن للمهاجم حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.8.5.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات ARForms حتى الإصدار 1.7.2 ضمناً **الوصف** المكوّن الإضافي ARForms لـ WordPress معرض لتنفيذ أكواد قصيرة تعسفية. لا يقوم البرنامج بالتحقق من صحة المدخلات بشكل صحيح قبل تشغيل الدالة `do shortcode`، مما يسمح للمهاجمين غير المصادق عليهم بتنفيذ أكواد قصيرة تعسفية. **التوصيات** قم بتحديث ARForms إلى إصدار أحدث من 1.7.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Demo Awesome لـ WordPress، الإصدارات الأقدم من 1.0.4 **الوصف** تتعلق المشكلة بعدم وجود تحقق من الأذونات في الدالة `install plugin`، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى بتثبيت وتفعيل مكوّنات إضافية عشوائية. **التوصيات** بالنسبة للإصدارات الأقدم من 1.0.4، قم بالتحديث إلى الإصدار 1.0.4 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الدالة `install plugin` لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Smart Maintenance Mode» لـ WordPress، الإصدارات حتى الإصدار 1.5.2 بما في ذلك **الوصف** تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المنعكس، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات، مما يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات. ويمكن تحقيق ذلك عن طريق خداع المستخدم لتنفيذ إجراء ما، مثل النقر على رابط، عبر المعلمة `setstatus`. **التوصيات** بالنسبة للإصدارات حتى الإصدار 1.5.2 ضمناً، يُنصح بتعطيل المعلمة `setstatus` حتى يتوفر تصحيح لمنع الاستغلال. قم بتقييد الوصول إلى المكون الإضافي Smart Maintenance Mode لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة `setstatus` في الصفحات المتأثرة حتى يتم حل المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي teachPress لـ WordPress، الإصدارات حتى 9.0.9 (بما في ذلك) **الوصف** تتعلق المشكلة بـ Cross-Site Request Forgery (CSRF) بسبب عدم وجود التحقق من صحة nonce أو وجوده بشكل غير صحيح في الصفحة ”import.php“. وهذا يسمح للمهاجمين غير المصادق عليهم بحذف عمليات الاستيراد من خلال طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط. **التوصيات** بالنسبة للإصدارات حتى 9.0.9 (بما في ذلك)، قم بالتحديث إلى إصدار يتضمن تصحيحًا لعدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجوده بشكل غير صحيح في الصفحة import.php. كإجراء تجنبي مؤقت، ضع في اعتبارك تقييد الوصول إلى الصفحة import.php لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: المكوّن الإضافي WP Crowdfunding لـ WordPress، الإصدارات حتى الإصدار 2.1.13 بما في ذلك الوصف: تتعلق المشكلة بغياب التحقق من الصلاحيات في الإجراء `download data`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بتنزيل محتوى المنشورات بالكامل من موقع ما عند تثبيت WooCommerce. التوصيات: بالنسبة لمكوّن WP Crowdfunding الإضافي لـ WordPress، الإصدارات حتى الإصدار 2.1.13 بما في ذلك، قم بالتحديث إلى إصدار أعلى من 2.1.13 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الإجراء `download data` لمنع الوصول غير المصرح به إلى البيانات.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 ضمناً **الوصف** تنشأ المشكلة بسبب عدم كفاية تنقية المدخلات وعدم ملاءمة معالجة المخرجات في السمات التي يقدمها المستخدم في الرمز المختصر ’public-form‘ الخاص بالمكوّن الإضافي، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة تم حقنها. **التوصيات** بالنسبة للمكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More الخاص بـ WordPress حتى الإصدار 16.26.10 ضمناً، يُنصح بتعطيل الرمز المختصر «public-form» إلى أن يتوفر تصحيح لمنع استغلال الثغرة. قم بتقييد الوصول إلى الصفحات التي تستخدم هذا الرمز المختصر لتقليل مخاطر حقن نصوص برمجية ويب تعسفية.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** المكوّن الإضافي Post Lockdown لـ WordPress في الإصدارات الأقدم من 4.1 **الوصف** تسمح هذه الثغرة الأمنية للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المشترك“ أو أعلى باستخراج بيانات من المنشورات المحمية بكلمة مرور أو الخاصة أو المسودات، والتي لا ينبغي أن يكون لديهم حق الوصول إليها، وذلك بسبب عدم كفاية القيود المفروضة على المنشورات التي يمكن تضمينها عبر إجراء AJAX ”pl autocomplete“. **التوصيات** بالنسبة لمكوّن Post Lockdown الإضافي لـ WordPress في الإصدارات الأقدم من 4.1، قم بالتحديث إلى الإصدار 4.1 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى إجراء AJAX «pl autocomplete» لتقليل مخاطر الاستغلال إلى أدنى حد.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 بما في ذلك **الوصف** تتعلق المشكلة بالتنفيذ التعسفي للرموز المختصرة (shortcodes) بسبب عدم وجود تحقق من الأذونات في نقطة نهاية AJAX ”rcl preview post“. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المشترك“ أو أعلى بتنفيذ رموز مختصرة تعسفية. **التوصيات** بالنسبة للمكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 بما في ذلك، يُنصح بتعطيل الوصول إلى نقطة نهاية AJAX ”rcl preview post“ حتى يتوفر تصحيح. كما أن تقييد تنفيذ الرموز القصيرة التعسفية قد يساعد في تقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 ضمناً **الوصف** تسمح هذه الثغرة للمهاجمين غير المصادق عليهم بعرض بيانات المنشورات المحمية بكلمة مرور أو المنشورات الخاصة أو المسودات، وذلك بسبب عدم كفاية القيود المفروضة على المنشورات التي يمكن تضمينها عبر الرمز القصير ’feed‘. **التوصيات** بالنسبة للمكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 ضمناً، يُنصح بتعطيل الرمز القصير `feed` حتى يتوفر تصحيح لمنع تسرب المعلومات.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** المكوّن الإضافي Shortcode Cleaner Lite لـ WordPress، الإصدارات الأقدم من 1.0.10 **الوصف** تسمح هذه الثغرة بالوصول غير المصرح به إلى البيانات بسبب عدم وجود فحص للأذونات في الدالة `download backup()`. وهذا يتيح للمهاجمين المصادق عليهم، الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى، تصدير إعدادات عشوائية. **التوصيات** بالنسبة للإصدارات حتى 1.0.9 ضمناً، قم بالتحديث إلى إصدار أعلى من 1.0.9 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى الدالة `download backup()` لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WP-Recall – المكون الإضافي للتسجيل والملف الشخصي والتجارة والمزيد لـ WordPress حتى الإصدار 16.26.10 ضمناً **الوصف** تتعلق المشكلة بحقن SQL عبر المعلمة `databeat` بسبب عدم كفاية الترميز في المعلمة التي يقدمها المستخدم وعدم وجود إعداد مناسب في استعلام SQL الحالي. وهذا يسمح للمهاجمين غير المصادق عليهم بإلحاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، مما يمكن استخدامه لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** بالنسبة للمكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 ضمناً: كحل مؤقت، يُنصح بتقييد الوصول إلى المعلمة `databeat` لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة `databeat` في الاستعلامات المتأثرة حتى يتم حل المشكلة. قم بالتحديث إلى إصدار أحدث من 16.26.10 فور توفره.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «The Master Slider – Responsive Touch Slider» الخاص بـ WordPress حتى الإصدار 3.10.6، بما في ذلك هذا الإصدار **الوصف** تنشأ المشكلة عن عدم كفاية تنقية المدخلات وتهريب المخرجات في السمات التي يزودها المستخدم في الرمز المختصر `ms layer` الخاص بالمكوّن الإضافي، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة تم حقنها. **التوصيات** بالنسبة للإصدارات حتى الإصدار 3.10.6 بما في ذلك، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات في الرمز المختصر `ms layer`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Spreadsheet Integration لـ WordPress حتى الإصدار 3.8.2 بما في ذلك **الوصف** تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب التحقق غير الكافي من صحة الرقم العشوائي (nonce) داخل البرنامج النصي class-wpgsi-show.php. وهذا يسمح للمهاجمين غير المصادق عليهم بنشر منشورات عشوائية، بما في ذلك المنشورات الخاصة، مما يدفع مسؤول الموقع إلى القيام بإجراء معين، مثل النقر على رابط. **التوصيات** بالنسبة للإصدارات حتى الإصدار 3.8.2 ضمناً، قم بالتحديث إلى إصدار يتضمن التحقق الصحيح من قيمة nonce لمنع هجمات تزوير الطلبات عبر المواقع. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى البرنامج النصي class-wpgsi-show.php لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** المكوّن الإضافي teachPress لـ WordPress، الإصدارات حتى 9.0.7 (بما في ذلك) **الوصف** تسمح هذه الثغرة للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «مساهم» أو أعلى بتنفيذ حقن SQL عبر المعلمة `order` في الرمز المختصر ”tpsearch“. ويرجع ذلك إلى عدم كفاية عملية التهرب (escaping) في المعلمة `order` التي يقدمها المستخدم، وعدم وجود إعداد مناسب في استعلام SQL الحالي، مما يتيح استخراج معلومات حساسة من قاعدة البيانات. **التوصيات** بالنسبة للإصدارات حتى 9.0.7 (بما في ذلك)، قم بالتحديث إلى إصدار يتضمن تصحيحًا لهذه المشكلة لمنع هجمات حقن SQL. كإجراء مؤقت، يُنصح بتقييد الوصول إلى الرمز المختصر ”tpsearch“ على المستخدمين الذين يتمتعون بمستوى وصول «مساهم» أو أعلى حتى يتوفر تصحيح. تجنب استخدام المعلمة `order` في الرمز المختصر ”tpsearch“ حتى يتم حل المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP Posts Carousel لـ WordPress حتى الإصدار 1.3.7 بما في ذلك **الوصف** تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات عبر المعلمة `auto play timeout`. وسيتم تنفيذ النصوص البرمجية المحقونة كلما قام مستخدم بالوصول إلى صفحة تم حقنها. **التوصيات** بالنسبة للمكوّن الإضافي WP Posts Carousel لـ WordPress حتى الإصدار 1.3.7 بما في ذلك، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى المعلمة `auto play timeout` لمنع الاستغلال.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** المكوّن الإضافي Secure Copy Content Protection and Content Locking لـ WordPress، الإصدارات الأقدم من 4.4.8 **الوصف** تسمح هذه الثغرة بالوصول غير المصرح به إلى البيانات بسبب عدم وجود تحقق من الأذونات في الدالة `ays sccp reports user search()`. وهذا يتيح للمهاجمين غير المصادق عليهم استرداد قائمة بعناوين البريد الإلكتروني للمستخدمين المسجلين. **التوصيات** بالنسبة للمكوّن الإضافي Secure Copy Content Protection and Content Locking لـ WordPress للإصدارات الأقدم من 4.4.8، قم بالتحديث إلى الإصدار 4.4.8 أو أحدث لحل المشكلة. كإجراء مؤقت، يُنصح بتعطيل الدالة `ays sccp reports user search()` حتى يتوفر تصحيح.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي TemplatesNext ToolKit لـ WordPress، الإصدارات حتى 3.2.9 (بما في ذلك) **الوصف** تنشأ المشكلة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم في الرمز المختصر `tx woo wishlist table`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها. **التوصيات** بالنسبة للإصدارات حتى 3.2.9 (بما في ذلك)، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات في الرمز المختصر `tx woo wishlist table`. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى الرمز المختصر `tx woo wishlist table` لمنع الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي IP2Location Redirection لـ WordPress، الإصدارات حتى الإصدار 1.33.3 بما في ذلك **الوصف** تسمح هذه الثغرة بالوصول غير المصرح به إلى البيانات بسبب عدم وجود تحقق من الصلاحية في إجراء AJAX «download ip2location redirection backup». وهذا يتيح للمهاجمين غير المصادق عليهم تنزيل إعدادات المكون الإضافي. **التوصيات** بالنسبة لمكوّن IP2Location Redirection الإضافي لـ WordPress، الإصدارات حتى الإصدار 1.33.3 بما في ذلك، قم بالتحديث إلى إصدار أعلى من 1.33.3 لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى إجراء AJAX «download ip2location redirection backup» لمنع الوصول غير المصرح به إلى البيانات.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Product Catalog Simple لـ WordPress في الإصدارات الأقدم من 1.7.12 **الوصف** تنشأ المشكلة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم في الرمز المختصر `show products`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة تم حقنها. **التوصيات** بالنسبة للإصدارات الأقدم من 1.7.12، قم بالتحديث إلى الإصدار 1.7.12 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى الرمز المختصر `show products` للمستخدمين الذين يتمتعون بحقوق وصول على مستوى «مساهم» أو أعلى حتى يتم تطبيق التحديث.