Mike Gozdiskowski

The Patreon WordPress plugin before 1.10.0 does not validate a user-supplied redirect destination before redirecting, allowing unauthenticated attackers to redirect visitors to an arbitrary external URL through a crafted link, which is useful for phishing.

**اسم البرنامج المصاب والإصدارات المتأثرة** File Upload to Order الإصدارات السابقة لـ 1.1.4 **Description** توجد مشكلة حيث يفشل المكون الإضافي في التحقق من مسار الملف المستمد من بيانات جلسة يتحكم فيها المهاجم أو تقييده قبل تنفيذ عملية حذف الملف. يمكن لمستخدمين غير مصرح لهم تنفيذ هذا الإجراء، مما يسمح بحذف ملفات عشوائية على الخادم، وهو ما قد يؤدي إلى اختراق الموقع بالكامل. **Recommendations** التحديث إلى الإصدار 1.1.4 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** WooCommerce Bookings الإصدارات السابقة لـ 3.11.0 **الوصف** توجد مشكلة حيث يفشل البرنامج في تقييد قيمة يوفرها المستخدم قبل استخدامها لتخصيص الذاكرة ضمن إجراء AJAX غير مصرح به. يسمح هذا لمهاجم غير مصرح له باستنفاد ذاكرة الخادم والتسبب في حالة حجب الخدمة (DoS)، وهي حالة يصبح فيها النظام غير متاح لمستخدميه المقصودين، وذلك من خلال طلب واحد. **التوصيات** التحديث إلى الإصدار 3.11.0 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** Zella Theme versions prior to 2.6.3 **Description** An unrestricted file upload issue exists in the Zella Theme for WordPress. The software fails to perform capability or nonce checks on a font upload action, which is accessible to unauthenticated users. This allows an attacker to upload arbitrary files, such as PHP scripts, leading to remote code execution (RCE), which is the ability to execute arbitrary commands on the server. **Recommendations** Update Zella Theme to version 2.6.3 or later.

**Name of the Vulnerable Software and Affected Versions** All in One Files Upload WordPress plugin versions prior to 2.0.17 **Description** The plugin allows unauthenticated users to upload files containing active content because it adds SVG to the allowed upload types without sanitizing the files or verifying the authenticity of public upload requests. This allows the uploaded content to execute within the site's origin when accessed by a victim. **Recommendations** Update All in One Files Upload WordPress plugin to version 2.0.17 or later.

**Name of the Vulnerable Software and Affected Versions** divi-dash WordPress plugin versions prior to 1.0.7 **Description** The plugin fails to validate the source of the client IP address used for rate limiting and banning. This allows unauthenticated attackers to spoof arbitrary IP addresses to bypass rate limiting, ban specific addresses, and cause a stored option to grow without bound, leading to a denial of service. **Recommendations** Update divi-dash WordPress plugin to version 1.0.7 or later.

**Name of the Vulnerable Software and Affected Versions** Web to Print Online Designer WordPress plugin versions prior to 2.15.0 **Description** Insufficient validation of uploaded file types and extensions allows unauthenticated attackers to upload arbitrary files, including PHP scripts. Additionally, the plugin exposes the token protecting these uploads to any visitor, enabling remote code execution on the server. **Recommendations** Update the plugin to version 2.15.0 or later.

**Name of the Vulnerable Software and Affected Versions** Choose User Role at Registration WordPress plugin versions prior to 1.3.3 **Description** An issue exists where the plugin fails to validate the role requested during registration against the roles predefined by an administrator. This allows unauthenticated users to request any role, including the administrator role, which is then granted upon approval of the request. This issue can be exploited if both the role selection feature and public account registration are enabled. **Recommendations** Update to version 1.3.3 or later. As a temporary mitigation, disable the role selection feature or public account registration.

**Name of the Vulnerable Software and Affected Versions** Embed HTML5 Game WordPress plugin versions prior to 1.4 **Description** The plugin fails to properly restrict file upload permissions and the types of files that can be uploaded. This allows unauthenticated attackers to upload arbitrary files, such as PHP backdoors, to the affected sites. **Recommendations** Update the plugin to a version newer than 1.3. Remove the plugin if it is no longer needed.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WooCommerce Bookings الأقدم من 3.9.0 **الوصف** توجد مشكلة تتمثل في عدم إجراء فحص للصلاحيات عند تنفيذ إجراء AJAX. بالإضافة إلى ذلك، يمكن تجاوز فحص الرمز العشوائي (nonce) — وهو إجراء أمني يُستخدم لمنع تزوير الطلبات عبر المواقع — عن طريق حذف الرمز المميز (token). وهذا يسمح للمستخدمين الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber) وما فوقه بإنشاء مسودات لمنتجات قابلة للحجز. **التوصيات** قم بتحديث WooCommerce Bookings إلى الإصدار 3.9.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي wpmudev-updates لـ WordPress الأقدم من 5.0.1 **الوصف** يفشل المكون الإضافي في التحقق من سلامة الحزم المثبتة عبر واجهة الإدارة عن بُعد، ولا يحمي الطلبات من هجمات إعادة التشغيل. وهذا يتيح للمهاجم الذي يحصل على طلب إدارة صالح وموقّع أو يعيد تشغيله، تنفيذ التعليمات البرمجية عن بُعد من خلال تثبيت وتنفيذ تعليمات برمجية عشوائية. **التوصيات** قم بتحديث المكون الإضافي wpmudev-updates لـ WordPress إلى الإصدار 5.0.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Custom Fields» لـ WordPress الأقدم من الإصدار 1.5.1 **الوصف** توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق من صحة مسار الملف الذي يقدمه المستخدم قبل تنفيذ عملية الحذف. وهذا يسمح للمستخدمين غير المصادق عليهم بحذف ملفات عشوائية على الخادم، مثل ملف `wp-config.php`، مما قد يؤدي إلى الاستيلاء الكامل على الموقع. **التوصيات** قم بتحديث المكون الإضافي Custom Fields لـ WordPress إلى الإصدار 1.5.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي zportals لـ WordPress الأقدم من 6.3.4 **الوصف** يفشل المكون الإضافي في التحقق من صحة الملفات التي تم تحميلها بشكل صحيح، حيث يثق في نوع المحتوى المقدم من العميل ويحتفظ بامتداد الملف الأصلي. وهذا يسمح لأي مستخدم تمت مصادقته ولديه امتيازات «مشترك» أو أعلى بتحميل ملفات PHP عشوائية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهي عملية يقوم فيها المهاجم بتنفيذ أوامر ضارة على الخادم المضيف. **التوصيات** قم بتحديث المكون الإضافي zportals لـ WordPress إلى الإصدار 6.3.4 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** مكونات Supsystic Pro الإضافية (لم يتم تحديد الإصدارات المتأثرة) **الوصف** تم توزيع شفرة خبيثة عبر خادم تحديث تم اختراقه. ويسمح ذلك للمهاجمين غير المصادق عليهم بنشر حمولة من المرحلة الثانية، مما يتيح سرقة بيانات الاعتماد والبيانات الحساسة الأخرى، ويمنحهم السيطرة الكاملة على المواقع المتأثرة. **التوصيات** في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**Name of the Vulnerable Software and Affected Versions** Customer Switching for WooCommerce versions prior to 2.1.3 **Description** The plugin fails to securely bind an active user-switching session to the operator who initiated it. This allows an authenticated attacker with customer-level access or higher to be resolved as the operator and switch into any permitted account, including those with administrator privileges, leading to full account takeover. **Recommendations** Update to version 2.1.3 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** LA-Studio Element Kit for Elementor، الإصدارات الأقدم من 1.6.1 **الوصف** يفشل المكون الإضافي في التحقق مما إذا كان تسجيل المستخدمين ممكّنًا على الموقع قبل إنشاء حساب عبر إجراء AJAX غير مصدق. وهذا يسمح للمهاجمين غير المصدقين بتسجيل حسابات جديدة حتى في حالة تعطيل التسجيل على مستوى الموقع. **التوصيات** قم بتحديث LA-Studio Element Kit for Elementor إلى الإصدار 1.6.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات EscortWP الأقدم من 3.6.3 **الوصف** يحتوي قالب EscortWP الخاص بـ WordPress على باب خلفي مشفر تم إنشاؤه بواسطة المطور. وهذا يسمح لمهاجم غير معتمد باستخدام مفتاح مدمج في الكود لكل إصدار بحذف جميع محتويات الموقع بشكل دائم. بالإضافة إلى ذلك، يقوم الباب الخلفي بنقل عنوان URL للموقع وعنوان البريد الإلكتروني للمسؤول ومفتاح الترخيص سراً إلى خادم تابع لجهة خارجية. **التوصيات** قم بتحديث EscortWP إلى إصدار أحدث من 3.6.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي uncanny-automator-pro لـ WordPress الأقدم من الإصدار 7.3.0.6 **الوصف** تم توزيع البرنامج مع شفرة خبيثة عقب اختراق البنية التحتية للتحديث والتوزيع الخاصة بالمورد. أدى هذا الاختراق في سلسلة التوريد إلى إدخال باب خلفي يتيح للمهاجمين غير المصادق عليهم الحصول على جلسة عمل إدارية على المواقع المتأثرة. بالإضافة إلى ذلك، يقوم الكود الخبيث بإرسال المفاتيح السرية للموقع وتفاصيل المسؤول إلى خوادم يسيطر عليها المهاجم. **التوصيات** قم بتحديث المكون الإضافي uncanny-automator-pro لـ WordPress إلى الإصدار 7.3.0.6 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MonsterInsights Pro من 10.2.0 إلى 10.2.2 **الوصف** تعرضت حاوية توزيع التحديثات الرسمية `monster-insights.s3.amazonaws.com` للاختراق، مما سمح لمهاجم بالحفاظ على حق الوصول للكتابة وتكرار تحميل حمولة ضارة. وأدى ذلك إلى تضمين ملف ضار، `class-system-check.php`، ضمن إصدارات البرنامج. وقد لوحظت ثلاثة متغيرات مختلفة للحمولة الخبيثة، تستخدم جميعها نفس مفتاح AES-256-GCM، وهو خوارزمية تشفير متماثلة توفر كل من السرية والمصداقية. **التوصيات** كحل مؤقت، قم بتقييد الوصول إلى ملف `class-system-check.php` لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Real Testimonials Pro (لم يتم تحديد الإصدارات المتأثرة) Product Slider Pro for WooCommerce (لم يتم تحديد الإصدارات المتأثرة) Smart Post Show Pro (لم يتم تحديد الإصدارات المتأثرة) **الوصف** حدث اختراق في سلسلة التوريد حيث تسلل المهاجمون إلى مسار إنشاء وتوزيع ShapedPlugin. وقد سمح ذلك بحقن باب خلفي متعدد المراحل في إصدارات المكونات الإضافية Pro التي يتم توزيعها عبر قنوات التحديث الرسمية المرخصة. يمكن للمهاجمين غير المصادق عليهم الحصول على وصول كامل عبر الباب الخلفي إلى المواقع المتأثرة. تيسر البرمجية الخبيثة سرقة بيانات الاعتماد، وتسريب قواعد البيانات، واستخراج أسرار المصادقة الثنائية (بذور TOTP) من المكونات الإضافية مثل WP 2FA وWordfence Login Security وReally Simple SSL وTwo-Factor، مما يؤدي إلى تجاوز المصادقة متعددة العوامل بشكل فعال. تشمل التفاصيل الفنية محملًا للمرحلة الأولى في `src/Includes/LicenseLoader.php` الذي يتم تنفيذه عند `admin init` ويرسل إشارات إلى خادم القيادة والتحكم. يتم إسقاط حمولة المرحلة الثانية في `wp-content/plugins/woocommerce-subscription/`، والتي تخفي نفسها باستخدام مرشح `all plugins`. تتضمن هذه الحمولة بابًا خلفيًّا لواجهة برمجة تطبيقات REST (REST API) عند نقطة النهاية ’/wp-json/wc/v3/settings/apply‘، وwebshell معلمة URL، وتجاوزًا لعملية تسجيل الدخول باستخدام تجزئة MD5 مبرمجة ثابتًا `e268c35a06d85f672e70c9beecb4e5d1`. **التوصيات** قم بتحديث المكونات الإضافية المتأثرة على الفور إلى أحدث الإصدارات التي تم إصلاحها. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/wp-json/wc/v3/settings/apply'