Mahdi Salhi

يحتوي المكون الإضافي aBlocks – WordPress Gutenberg Blocks الخاص بـ WordPress على ثغرة تسمح بالتعديل غير المصرح به للبيانات وكشف المعلومات الحساسة. ويحدث ذلك بسبب عدم وجود عمليات التحقق من الأذونات في العديد من إجراءات AJAX. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى قراءة إعدادات المكون الإضافي، بما في ذلك رؤية الكتل وإعداد وضع الصيانة. كما يمكنهم الوصول إلى بيانات التكوين الحساسة، مثل مفاتيح واجهة برمجة التطبيقات (API) لخدمات التسويق عبر البريد الإلكتروني. وتعتبر «مفاتيح واجهة برمجة التطبيقات» معرضة بشكل خاص لخطر الكشف.

المكوّن الإضافي Custom Post Type UI لـ WordPress معرض لخطر التحايل على الصلاحيات. لا يقوم المكون الإضافي بالتحقق بشكل صحيح من صلاحيات المستخدم عند تنفيذ الدالة `cptui process post type`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بإضافة أنواع منشورات مخصصة أو تعديلها أو حذفها في ظروف محددة.