Matthew Rollings

يؤدي عدم كفاية عملية التنقية والهروب لمحتوى تقييمات Google المستردة من واجهة برمجة تطبيقات Serp إلى تمكين المهاجمين غير المصادق عليهم من تنفيذ هجمات «Stored Cross-Site Scripting» (XSS). يمكن للمهاجم إرسال تقييم ضار إلى صفحة الشركة على Google، والذي يتم تنفيذه بعد ذلك في متصفح أي زائر، بما في ذلك المسؤولون، عند عرض صفحة WordPress تعرض التقييمات الخاصة بـ Place ID المحدد عبر أداة Google Reviews.

توجد ثغرة أمنية من نوع «التنفيذ عبر المواقع المخزنة» (XSS) غير المصادق عليها، وذلك بسبب استخدام هاش بديل يمكن التنبؤ به أثناء عملية تصغير كود HTML وإساءة استخدام تعبير عادي. وهذا يسمح للمهاجم بحقن سمات HTML عشوائية في الناتج النهائي لـ HTML من خلال توقع تنسيق العنصر النائب.

يؤدي عدم تطهير المحتوى بشكل كافٍ داخل رمز قصير مخصص يُستخدم في ميزة ترميز البريد الإلكتروني إلى السماح للمهاجمين غير المصادق عليهم بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS). وهذا يتيح حقن نصوص برمجية ويب عشوائية في التعليقات المعتمدة، والتي يتم تنفيذها بعد ذلك عندما يقوم أي مستخدم، بما في ذلك المسؤولون، بعرض المنشور.

يحتوي المكون الإضافي لمشغل الفيديو FV Flowplayer الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات لنص التعليقات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. يعتمد نجاح الاستغلال على قيام المسؤول بتمكين الإعداد غير الافتراضي `parse comments` (تحليل روابط Vimeo وYouTube)، ويتطلب الموافقة على التعليق المقدم من قبل المسؤول قبل تسليم الحمولة.

يؤدي التعامل غير السليم مع استبدال عناوين البريد الإلكتروني إلى تمكين المستخدمين غير المصادق عليهم من تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. تحدث هذه المشكلة بسبب المعالجة غير الآمنة لمخرجات استبدال البريد الإلكتروني والتحقق غير المناسب من المدخلات أو الترميز غير المناسب للمخرجات، مما يسمح باستمرار المحتوى الذي يتحكم فيه المهاجم وعرضه كنص برمجي. يمكن للمهاجم حقن أحمال معالجة عن بُعد أثناء عملية استبدال البريد الإلكتروني، والتي يتم عرضها لاحقًا للزوار أو المسؤولين. قد يؤدي ذلك إلى تنفيذ جافا سكريبت تعسفي في متصفح الضحية، مما قد يؤدي إلى اختطاف الجلسة الإدارية، وعمليات إعادة التوجيه الخبيثة، والاستيلاء على السيطرة على الموقع.

يتعرض المكون الإضافي لمشكلة قراءة الملفات بشكل تعسفي من خلال أداة Draw SVG. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى بقراءة ملفات تعسفية على الخادم، مما قد يؤدي إلى كشف معلومات حساسة.

يفشل المكون الإضافي Email Encoder لـ WordPress في تصفية عناوين البريد الإلكتروني التي يتم استردادها عبر إدخال المستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS)، وهي تقنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف وتنفيذها في متصفح المستخدمين الذين يشاهدون الصفحة المتأثرة.

يمكن تنفيذ التعليمات البرمجية عن بُعد عبر ميزة ”منطق العرض“ (Display Logic). تنشأ المشكلة لأن المكون الإضافي يستخدم الدالة `eval()` على تعبيرات ”منطق العرض“ التي يقدمها المستخدم، مع وجود قائمة حظر/قائمة سماح غير كافية يمكن تجاوزها باستخدام `array map` مع ربط السلاسل. بالإضافة إلى ذلك، هناك نقص في فرض الترخيص على السمة `extended widget opts block`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بتنفيذ تعليمات برمجية تعسفية على الخادم.

تؤدي المعالجة غير السليمة لعملية استبدال البريد الإلكتروني إلى السماح للمستخدمين غير المصادق عليهم بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS) عند تمكين إعداد مشفر البريد الإلكتروني. تحدث هجمات XSS المخزنة عندما يتم تخزين برنامج نصي ضار بشكل دائم على الخادم المستهدف، والذي يتم بعد ذلك تقديمه للمستخدمين الآخرين.

من الممكن حدوث هجوم ”البرمجة النصية عبر المواقع“ (XSS) المخزنة غير المصادق عليها بسبب استخدام هاش بديل يمكن التنبؤ به أثناء عملية تصغير HTML وإساءة استخدام تعبير عادي. وهذا يسمح للمهاجم بتوقع تنسيق العنصر النائب وإدخال سمات HTML عشوائية في الناتج النهائي لـ HTML.

المكوّن الإضافي Autoptimize الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال معالجة الصور التي يتم تحميلها بشكل مؤجل. ويرجع السبب في ذلك إلى استخدام تعبير عادي مفرط التساهل في الدالة `add lazyload`. يستبدل التعبير النمطي جميع مثيلات `ssrc=` في علامات الصور دون تقييد بالسمة الفعلية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. يمكن للمهاجمين تحقيق ذلك عن طريق إنشاء علامة صورة حيث يحتوي عنوان URL الخاص بـ `src` على مسافة متبوعة بـ `src=`، مما يكسر بنية HTML ويحول النص الموجود داخل قيم السمات إلى سمات HTML قابلة للتنفيذ.

يحتوي البرنامج على ثغرة في قواعد استبدال التعبيرات النمطية (regex) التي تسمح بهجوم XSS مخزّن دون الحاجة إلى مصادقة. يحدث ذلك عندما يتم نشر رابط ضار كتعليق، ثم يتم الموافقة عليه مع تفعيل ميزة lightbox للتعليقات. تسمح هذه الثغرة للمهاجم بإدخال كود ضار يتم تنفيذه عندما يقوم مستخدمون آخرون بعرض التعليق.

يحتوي المكون الإضافي CubeWP لـ WordPress على مشكلة تتعلق بكشف المعلومات. تؤدي القيود غير الكافية في وظيفة البحث في الملف `class-cubewp-search-ajax-hooks.php` إلى السماح للمهاجمين غير المصادق عليهم بالوصول إلى بيانات المنشورات المحمية بكلمة مرور أو الخاصة أو المسودات التي لا يُفترض أن يتمكنوا من عرضها. تسمح وظيفة البحث المعرضة للخطر باستخراج المعلومات الحساسة.

المكوّن الإضافي Brizy – Page Builder لـ WordPress معرض لخطر الكشف عن معلومات حساسة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «مساهم» أو أعلى استخراج بيانات حساسة، بما في ذلك عناوين البريد الإلكتروني وكلمات المرور المُشفّرة (هاش) الخاصة بالمسؤولين، من خلال الدالة `get users()`.

المكوّن الإضافي a3 Lazy Load لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) بسبب عدم تطهير المدخلات بشكل كافٍ وتهريب المخرجات الخاصة بالسمات التي يقدمها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة.

المكوّن الإضافي Royal Elementor Addons and Templates لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). تحدث المشكلة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات المتعلقة بالمتغير `item[’field id‘]`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة.

يحتوي البرنامج على ثغرة أمنية من نوع «Stored Cross-Site Scripting» (تشفير البرمجة عبر المواقع المخزنة) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل مستخدم إلى الصفحة التي تم حقنها. توجد الثغرة الأمنية في المعلمتين «api» و«type».

يُعتبر موضوع Kallyas الخاص بـ WordPress عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS) من خلال عدة رموز قصيرة. إن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم تسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة.

يسمح المكون الإضافي WP Delicious – Recipe Plugin for Food Bloggers (المعروف سابقًا باسم Delicious Recipes) الخاص بـ WordPress للمهاجم الذي يتمتع بأذونات على مستوى «المساهم» بتحميل ملفات ضارة. ويحدث ذلك عند استيراد الوصفات عبر ملف CSV، وتحديدًا عند تقديم عنوان URL بعيد أثناء عملية الاستيراد. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). تتضمن الثغرة الأمنية تحميل ملفات تعسفيًّا، مما يسمح للمهاجم بتحميل ملف PHP. المكون المعرض للخطر هو وظيفة استيراد ملفات CSV.

يُعتبر موضوع Kallyas الخاص بـ WordPress عرضة لثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد عبر عنصر واجهة المستخدم الخاص بمُنشئ الصفحات `TH PhpCode`. تحدث المشكلة لأن السمة لا تقيد الوصول إلى أداة محرر الكود للمستخدمين غير الإداريين. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «مساهم» أو أعلى بتنفيذ كود على الخادم. أداة `TH PhpCode` هي المكون المحدد المتورط في هذه المشكلة.