Martino Spagnuolo

يفشل محلل HTTP/3 في التحقق من توافق طول نص الرسالة المستلم مع طول المحتوى المعلن مسبقًا عند إغلاق دفق باستخدام إطار يحتوي على حمولة فارغة. قد يؤدي هذا التباين إلى فقدان التزامن بين الوكيل والخادم الخلفي، مما قد يتيح تهريب الطلبات، وهي تقنية تُستخدم للتدخل في الطريقة التي يعالج بها موقع الويب تسلسلات طلبات HTTP.

توجد مشكلة تزوير الطلبات من جانب الخادم (SSRF) في MailerPress. وهذا يسمح بتزوير الطلبات من جانب الخادم. تؤثر هذه الثغرة الأمنية على مكون `mailerpress`.

توجد ثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في برنامج aitool Ai Auto Tool Content Writing Assistant (Gemini Writer، ChatGPT) All in One. تسمح هذه المشكلة بتزوير الطلبات من جانب الخادم.

يوجد خلل في التخويل في DesertThemes SoftMe، مما يسمح باستغلاله بسبب إعدادات مستويات أمان التحكم في الوصول بشكل غير صحيح.

يحتوي البرنامج على ثغرة تتعلق بانعدام التفويض بسبب إعدادات غير صحيحة لمستويات أمان التحكم في الوصول.

يوجد تحقق غير كافٍ من صحة الكمية المحددة في المدخلات في Bonus for Woo، مما قد يسمح بالوصول إلى وظائف غير مقيدة بشكل صحيح بواسطة قوائم التحكم في الوصول (ACLs).

تتعلق هذه الثغرة الأمنية بـ «تزوير الطلبات بين المواقع» (CSRF) مما يسمح بـ «حقن الكائنات».

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: ameliabooking Booking System Trafft حتى الإصدار 1.0.14 الوصف: يحتوي برنامج Booking System Trafft على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن. ويرجع ذلك إلى عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب. التوصيات: قم بتحديث برنامج ameliabooking Booking System Trafft إلى إصدار أحدث من 1.0.14.

تتعرض إضافة «دليل الموظفين – قائمة الموظفين ودليل الفرق» (Employee Directory – Staff Listing & Team Directory) لـ WordPress لخطر حقن الكائنات (object injection) بسبب عملية إزالة التسلسل (deserialization) لبيانات غير موثوق بها. تتيح هذه الثغرة إمكانية تنفيذ التعليمات البرمجية.

تسمح عملية فك تسلسل البيانات غير الموثوقة في البرنامج بحقن كائنات.

يحتوي البرنامج على مشكلة تتعلق بإلغاء تسلسل البيانات غير الموثوقة، مما يسمح بحقن الكائنات.

توجد ثغرة أمنية في برنامج emarket-design YouTube Showcase تتمثل في التحكم غير السليم في إنشاء الكود («حقن الكود»)، مما يسمح بـ«حقن الكائنات».

تسمح عملية إزالة التسلسل من البيانات غير الموثوقة في WP Easy Contact بحقن كائنات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إطار عمل CubeWP، الإصدارات من N/A حتى 1.1.24 الوصف: توجد مشكلة في التخصيص غير الصحيح للامتيازات في إطار عمل CubeWP، مما يسمح بتصعيد الامتيازات. التوصيات: قم بتحديث إطار عمل CubeWP إلى إصدار أحدث من 1.1.24.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات StoryMap حتى الإصدار 2.1 الوصف: توجد ثغرة أمنية تتعلق بالتزوير بين المواقع (CSRF) في StoryMap، والتي تسمح أيضًا بحقن SQL. التوصيات: في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Infility Global حتى الإصدار 2.14.7 الوصف: تتعلق هذه المشكلة بتقييد غير صحيح لمسار اسم ملف إلى دليل محظور، وهو ما يُعرف أيضًا باسم ثغرة «عبور المسار» (Path Traversal) في برنامج Infility Global. تسمح هذه الثغرة بـ«عبور المسار». التوصيات: في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Made IT Forms غير المحددة حتى الإصدار 2.9.0 الوصف: توجد ثغرة أمنية تتعلق بتحميل الملفات دون قيود، بما في ذلك أنواع الملفات الخطرة، في برنامج Made IT Forms، مما يسمح بتحميل «ويب شيل» إلى خادم الويب. التوصيات: في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: miniOrange Prevent files / folders access، الإصدارات من غير متوفر حتى 2.6.0 الوصف: توجد ثغرة أمنية تتعلق بـ«عبور المسار» (path traversal) في برنامج miniOrange Prevent files / folders access، مما يسمح للمهاجمين بعبور مسارات الملفات. تتيح هذه الثغرة عبور المسار داخل التطبيق. التوصيات: قم بتحديث برنامج miniOrange Prevent files / folders access إلى إصدار أعلى من 2.6.0.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: DELUCKS SEO حتى الإصدار 2.6.0 الوصف: توجد مشكلة في التخصيص الخاطئ للامتيازات في DELUCKS SEO، مما يسمح بتصعيد الامتيازات. التوصيات: قم بتحديث DELUCKS SEO إلى إصدار أحدث من 2.6.0.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات «BuddyPress XProfile Custom Image Field» حتى الإصدار 3.0.1 الوصف: تتعلق هذه المشكلة بتقييد غير صحيح لمسار اسم ملف إلى دليل محظور، وهو ما يُعرف أيضًا باسم «اجتياز المسار». وهذا يتيح للمهاجم الوصول إلى الدلائل المحظورة. التوصيات: تحديث «BuddyPress XProfile Custom Image Field» إلى إصدار أحدث من 3.0.1.