Mokksh Parekh

The Click n Chat (Chat Widget Integration) WordPress plugin before 1.1.3 does not perform any authorization check on a lead-export handler, allowing unauthenticated users to download every captured contact record (names, email addresses and phone numbers).

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات TrueBooker الأقدم من 1.2.7 **الوصف** تسمح عمليات التحقق غير الكافية من الصلاحيات في إجراء AJAX للمستخدمين غير المصادق عليهم بتعديل حالة المواعيد العشوائية. كما يتيح هذا الخلل إرسال رسائل إلكترونية إعلامية إلى العملاء المتأثرين عبر الإجراء `update appointment status`. **التوصيات** تحديث TrueBooker إلى الإصدار 1.2.7 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي KiviCare لـ WordPress الأقدم من 4.5.2 **الوصف** يمكن للمستخدمين المصادق عليهم الذين يتمتعون بدور على مستوى موظفي العيادة تنفيذ هجوم حقن SQL لأن البرنامج يفشل في تنقية المعلمات التي يقدمها المستخدمون وتفاديها بشكل صحيح قبل دمجها في استعلام SQL. حقن SQL هو تقنية يتم من خلالها إدراج عبارات SQL ضارة في حقول الإدخال لتنفيذها، مما قد يسمح بالوصول غير المصرح به إلى قاعدة البيانات. **التوصيات** تحديث المكون الإضافي KiviCare لـ WordPress إلى الإصدار 4.5.2 أو أحدث.

**Name of the Vulnerable Software and Affected Versions** WP Hotel Booking versions prior to 2.3.2 **Description** Insufficient sanitization and escaping of a search parameter in an administrative listing allows authenticated users with booking-management roles or higher to perform SQL injection. This occurs because the plugin fails to properly prepare the SQL query, enabling attackers to append additional queries to extract sensitive information from the database. **Recommendations** Update WP Hotel Booking to version 2.3.2 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Project Management, Bug and Issue Tracking» لـ WordPress، الإصدارات الأقدم من 5.1.0 **الوصف** توجد ثغرة تتمثل في عدم تنقية المدخلات التي يقدمها المستخدم أو إخراجه بشكل صحيح قبل استخدامها في استعلام SQL. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ هجمات حقن SQL، والتي تحدث عند إدراج عبارات SQL ضارة في حقول الإدخال لتنفيذها. يمكن استغلال هذا الخلل ضمن التكوين القياسي لمتتبع المشكلات في الواجهة الأمامية عبر معلمة البحث. **التوصيات** قم بتحديث المكون الإضافي «إدارة المشاريع وتتبع الأخطاء والمشكلات» لـ WordPress إلى الإصدار 5.1.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Advance Product Search» الأقدم من 1.4.5 **الوصف** يوجد في البرنامج ثغرة «حقن SQL» دون مصادقة. «حقن SQL» هو نوع من الثغرات الأمنية التي تسمح للمهاجم بالتدخل في الاستعلامات التي يرسلها التطبيق إلى قاعدة البيانات الخاصة به. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.4.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات degit الأقدم من 2.8.6 إصدارات degit من 3.0.0 إلى 3.3.0 **الوصف** يحدث حقن الأوامر بسبب عدم تنقية مدخلات المستخدم المستخدمة في أوامر git shell بشكل صحيح. تستدعي الدالتان ` cloneWithGit()` و`fetchRefs()` هذه الأوامر مباشرةً باستخدام الطريقة `exec()`. يمكن للمهاجم تنفيذ أوامر عشوائية لنظام التشغيل بصفته مستخدم العملية من خلال توفير اسم مستودع git مصمم خصيصًا. تؤثر هذه المشكلة بشكل أساسي على مولدات القوالب، وبرامج تمهيد المشاريع، وخطوط أنابيب CI التي تعالج معرّفات المستودعات غير الموثوق بها. **التوصيات** قم بالتحديث إلى الإصدار 2.8.6 للإصدارات الأقدم من 2.8.6. قم بالتحديث إلى الإصدار 3.3.1 للإصدارات من 3.0.0 إلى 3.3.0.