Mroccon

يؤدي فقدان التحقق من الصلاحيات في إحدى الدوال إلى تمكين المهاجمين غير المصرح لهم من تنفيذ إجراءات غير مصرح بها. تحدث هذه المشكلة عند استخدام المكون الإضافي مع Force، مما يسمح باستغلال مستويات أمان التحكم في الوصول التي تم تكوينها بشكل خاطئ.

يحدث ثغرة Cross-Site Scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يتيح ذلك للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات في إضافة JetFormBuilder لـ WordPress إلى إمكانية حدوث ثغرة Cross-Site Scripting (XSS) من نوع DOM-Based وStored. تتيح هذه المشكلة للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمهاجمين المصرح لهم، الذين لديهم صلاحيات وصول بمستوى مشترك أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يؤدي عدم كفاية تعقيم المدخلات ومعالجة المخرجات في `acf-frontend-form-element` إلى حدوث ثغرة Cross-Site Scripting (XSS) مخزنة، وهي حالة يتم فيها تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف. يتيح ذلك للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يسمح المكون الإضافي للمهاجمين غير المصرح لهم بتنفيذ رموز قصيرة (shortcodes) عشوائية. يحدث هذا لأن البرنامج يفشل في التحقق من صحة قيمة ما بشكل صحيح قبل تنفيذ الدالة `do shortcode()`، مما يؤدي إلى حقن الكود بسبب عدم تحييد وسوم HTML المتعلقة بالنصوص البرمجية بشكل صحيح.

توجد مشكلة حيث يفشل البرنامج في تحييد علامات HTML المتعلقة بالنصوص البرمجية بشكل صحيح ولا يقوم بالتحقق من القيم قبل تنفيذ دالة `do shortcode`. يسمح هذا للمهاجمين المصرح لهم، والذين لديهم صلاحيات وصول بمستوى مشترك (Subscriber) أو أعلى، بإجراء حقن للكود وتنفيذ shortcodes تعسفية.

يحتوي ملحق Addon Elements for Elementor الخاص بـ WordPress على خلل يسمح للمهاجمين غير المصرح لهم باستخراج بيانات مستخدم أو بيانات تكوين حساسة مدمجة. يحدث هذا بسبب إدراج معلومات حساسة في البيانات المرسلة.

يحدث ثغرة Cross-Site Scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يتيح ذلك للمهاجمين المصرح لهم، والذين لديهم صلاحيات وصول بمستوى مساهم أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يخدع المهاجم مسؤول الموقع لتنفيذ إجراء غير مصرح به عبر طلب مزور. ويرجع ذلك إلى التحقق المفقود أو غير الصحيح من الـ nonce في إحدى الدوال، والـ nonce هو رمز فريد يستخدم للتحقق من أن الطلب تم إرساله عن قصد من قبل المستخدم.

يحتوي مكون WCFM Marketplace الإضافي لـ WordPress على خلل في التصريح ناتج عن تكوين غير صحيح لمستويات التحكم في الوصول. وتحديداً، يؤدي فقدان التحقق من الصلاحيات في إحدى الدوال إلى تمكين المهاجمين المصرح لهم، الذين يمتلكون صلاحيات مستوى البائع أو أعلى، من تنفيذ إجراءات غير مصرح بها.

يحتوي مكون WCFM Marketplace الإضافي لـ WordPress على ثغرة من نوع Cross-Site Scripting (XSS) مخزنة، والتي تحدث عندما يتضمن التطبيق بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو معالجتها بشكل صحيح. ينبع هذا الخلل من عدم كفاية تنقية المدخلات ومعالجة المخرجات، مما يسمح للمهاجمين المصرح لهم الذين لديهم صلاحيات وصول على مستوى البائع أو أعلى بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص تلقائيًا عندما يزور أي مستخدم الصفحة المصابة.

يسمح إضافة myCred لـ WordPress للمهاجمين المصرح لهم الذين لديهم مستوى وصول مشترك (Subscriber) أو أعلى بتنفيذ رموز قصيرة (shortcodes) تعسفية. يحدث هذا لأن البرنامج يفشل في التحقق من صحة قيمة ما بشكل صحيح قبل تنفيذ الدالة `do shortcode()`، مما يؤدي إلى حقن الكود بسبب عدم تحييد وسوم HTML المتعلقة بالنصوص البرمجية بشكل صحيح.

يؤدي عدم كفاية تعقيم المدخلات ومعالجة المخرجات إلى حدوث ثغرة Cross-Site Scripting (XSS)، مما يسمح للمهاجمين بحقن نصوص برمجية ويب تعسفية في الصفحات. يشمل ذلك كل من XSS المنعكس (Reflected XSS)، حيث تنعكس النصوص البرمجية من تطبيق الويب إلى متصفح المستخدم، وXSS المخزن (Stored XSS)، حيث يتم تخزين النصوص البرمجية بشكل دائم على الخادم ويتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة. يمكن للمهاجمين غير المصرح لهم استغلال ذلك لتنفيذ نصوص برمجية في متصفحات المستخدمين الآخرين.

يؤدي عدم كفاية التحقق من المسار الذي يوفره المستخدم إلى إمكانية قيام المهاجمين غير المصرح لهم بتنفيذ عملية path traversal (تخطي المسار)، مما يسمح بالوصول إلى ملفات ومجلدات خارج المجلد المخصص.

يمكن لمهاجم غير مصرح له القيام بتصعيد الامتيازات على موقع WordPress، مما يسمح له بالحصول على امتيازات مرتفعة والسيطرة على الوظائف الإدارية.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة بسبب عدم كفاية تنقية المدخلات ومعالجة المخرجات. يتيح ذلك للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يحدث تزوير الطلبات عبر المواقع (CSRF) عندما يقوم مهاجم غير مصرح له بخداع مسؤول الموقع للنقر فوق رابط، مما يسمح للمهاجم بتنفيذ إجراءات غير مصرح بها عبر طلب مزور. ويرجع ذلك إلى التحقق المفقود أو غير الصحيح من الـ nonce (رمز فريد يستخدم لمنع تزوير الطلبات) في إحدى الدوال.

يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى إمكانية قيام المهاجمين المصرح لهم، والذين يمتلكون صلاحيات بمستوى مساهم أو أعلى، بتنفيذ هجوم Cross-Site Scripting (XSS) مخزن. يحدث هذا عند حقن برمجيات نصية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة بسبب عدم كفاية تنقية المدخلات ومعالجة المخرجات. يمكن للمهاجمين المصرح لهم، والذين لديهم صلاحيات وصول بمستوى مساهم أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.