Muhammad Yudha

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات CM Business Directory الأقدم من 1.5.8 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). ويحدث ذلك عندما يتم إدخال نصوص برمجية ويب عشوائية إلى الصفحات عبر حقول بيانات تعريفية لعناوين الأعمال، والتي يتم تنفيذها بعد ذلك عندما يصل المستخدم إلى الصفحة المتأثرة. ونظرًا لأن الحمولة تُخزَّن في ميتا المنشور (post meta) بدلاً من محتوى المنشور (post content)، يتم تجاوز تقييد إمكانية `unfiltered html` في WordPress. وتشمل المتغيرات المتأثرة `cmbd address` و`cmbd cityTown` و`cmbd stateCounty` و`cmbd postalcode` و`cmbd region` و`cmbd country`. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.5.7. قم بتقييد استخدام الحقول `cmbd address` و`cmbd cityTown` و`cmbd stateCounty` و`cmbd postalcode` و`cmbd region` و`cmbd country` على المستخدمين الموثوق بهم فقط.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP Photo Album Plus الأقدم من 9.1.13.006 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). يمكن للمهاجم إدخال نصوص برمجية ويب عشوائية في الصفحات عن طريق تضمين رمز قصير خبيث `[photo]` في منشور تم إرساله للمراجعة. يتم تنفيذ هذه النصوص البرمجية عندما يقوم المسؤول أو أي مستخدم آخر بعرض الصفحة المتأثرة. يتم تشغيل هذه المشكلة عبر المعلمة `subtext`. **التوصيات** قم بتحديث WP Photo Album Plus إلى الإصدار 9.1.13.006 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Event Organiser» الأقدم من 3.13.0 **الوصف** يحتوي المكون الإضافي «Event Organiser» الخاص بـ WordPress على ثغرة أمنية من نوع «Stored Cross-Site Scripting». وتحدث هذه الثغرة لأن الرمز المختصر `eo events` يقبل محتوى `no events` الذي يتحكم فيه المهاجم ويعرضه في قوالب قائمة الأحداث دون تطبيق إجراءات الحماية المناسبة على المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.12.9.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات مشغل الفيديو FV Flowplayer الأقدم من 7.5.51.722 **الوصف** تحدث ثغرة ”التنفيذ البرمجي عبر المواقع المخزنة“ (XSS) بسبب عدم كفاية تنقية المدخلات وتصفية المخرجات في السمات التي يزودها المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية من خلال السمة `align` في الرمز المختصر `video player`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 7.5.51.7212. كإجراء تخفيفي مؤقت، قم بتقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تحرير الصفحات أو استخدام الرمز المختصر `video player`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Featured Image» الأقدم من 2.2 **الوصف** تحدث ثغرة «Stored Cross-Site Scripting» (تشفير البرمجة عبر المواقع المخزنة) بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Canvas لإصدارات WordPress السابقة للإصدار 2.5.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `tag`. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.5.2. كحل مؤقت، قم بتقييد الوصول إلى المعلمة `tag` للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Simple Divi Shortcode الأقدم من 1.3 **الوصف** يحتوي المكون الإضافي Simple Divi Shortcode الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). وتحدث هذه الثغرة لأن الدالة `showmodule shortcode()` تفشل في تنقية المدخلات بشكل صحيح وتهرب المخرجات عند معالجة المعلمة `id` الخاصة بالرمز المختصر `[showmodule]`. يتم ربط السمة `id` مباشرةً بسلسلة الرمز القصير التي يتم إنشاؤها ديناميكيًا دون استخدام `esc attr()` أو طرق التهرب الأخرى، مما يسمح للمهاجم بكسر سياق السمة وحقن كود HTML تعسفي. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.2. كحل مؤقت، قم بتقييد استخدام المعلمة `id` داخل الرمز المختصر `[showmodule]` أو قم بتحديد أذونات المستخدمين لمنع المساهمين من تحرير الصفحات التي تحتوي على هذا الرمز المختصر.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Shariff Wrapper الأقدم من 4.6.21 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). توجد المشكلة في المعلمة `headline` الخاصة بالرمز المختصر `[shariff]`. وتحدث هذه المشكلة لأن المكون الإضافي يستخدم تطبيقًا مخصصًا لـ `wp kses` مع علامات HTML متساهلة، ثم يقوم بعد ذلك بتنفيذ عملية `str replace` التي تُدخل HTML بعد التنقية. تسمح هذه السلسلة بإدخال معالجات الأحداث من خلال العنصر النائب `%total` في سمة النمط، مما يتيح تنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم صفحة متأثرة. **التوصيات** قم بتحديث Shariff Wrapper إلى الإصدار 4.6.21 أو أحدث. تجنب استخدام المعلمة `headline` في الرمز المختصر `[shariff]` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Geo Mashup الأقدم من 1.13.18 **الوصف** يؤدي التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة، وهي حالة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف ثم تقديمها للمستخدمين الآخرين. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.13.18.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** The Team Master – A Modern WordPress Team Showcase، الإصدارات الأقدم من 1.1.3 **الوصف** تسمح عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS). ويحدث ذلك عبر سمات الرموز المختصرة، مما يتيح حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.1.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Query Shortcode» الأقدم من 0.2.2 **الوصف** يحتوي المكون الإضافي «Query Shortcode» الخاص بـ WordPress على ثغرة أمنية تتعلق بإدراج الملفات المحلية (Local File Inclusion) داخل وظيفة الرمز القصير. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى استغلال هذه الثغرة باستخدام سمة الرمز القصير `lens` لتضمين وتنفيذ ملفات .php عشوائية على الخادم. وهذا يسمح بتنفيذ كود PHP، والذي يمكن استخدامه لتجاوز ضوابط الوصول أو الحصول على بيانات حساسة، خاصةً عندما يكون من الممكن تحميل ملفات .php على الخادم. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 0.2.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Livemesh SiteOrigin Widgets الأقدم من 3.9.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى `lsow admin ajax`، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية. **التوصيات** قم بتحديث Livemesh SiteOrigin Widgets إلى الإصدار 3.9.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات Livemesh لـ Beaver Builder للإصدارات الأقدم من 3.9.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى `labb admin ajax`، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية. **التوصيات** قم بتحديث Livemesh Addons for Beaver Builder إلى الإصدار 3.9.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Instant-Quote.co Quotation Page» الخاص بـ WordPress للإصدارات الأقدم من 1.3.5 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل سمات الرموز المختصرة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة. على سبيل المثال، يمكن للمساهم تضمين رمز قصير ضار في منشور تم إرساله للمراجعة، مما يؤدي إلى تشغيل النص البرمجي عندما يقوم المسؤول بمعاينة المنشور أو عرضه. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.3.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات iWR Tooltip الأقدم من 1.1 **الوصف** يحتوي المكون الإضافي على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) داخل الرمز المختصر `iwrtooltip`. تفشل الدالة `iwr tooltip()` في تنقية المدخلات بشكل صحيح وتهريب المخرجات للسمات التي يزودها المستخدم. على وجه التحديد، يتم ربط السمة `title` مباشرةً بسمة HTML دون استخدام `esc attr()` أو طرق تهريب أخرى. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** تحديث المكون الإضافي إلى إصدار أحدث من 1.0. كإجراء تخفيفي مؤقت، تقييد قدرة المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم على تعديل الصفحات أو استخدام الرمز المختصر `iwrtooltip`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات WPBakery Page Builder من Livemesh، الإصدارات الأقدم من 3.9.5 **الوصف** تحدث ثغرة ”Stored Cross-Site Scripting“ (تخزين البرمجة النصية عبر المواقع) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. يتم ترميز سمات الرموز المختصرة لـ `[lvca carousel]` و`[lvca posts carousel]` باستخدام `wp json encode()` ووضعها في سمات HTML `data-settings` بين علامتي اقتباس مفردة دون استخدام `esc attr()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بإدخال علامات الاقتباس المفردة للخروج من السمة وتنفيذ نصوص برمجية ويب تعسفية عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.9.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات WPBakery Page Builder من Livemesh، الإصدارات الأقدم من 3.9.5 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى `lvca admin ajax`، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية. **التوصيات** قم بتحديث ملحقات WPBakery Page Builder من Livemesh إلى الإصدار 3.9.5 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Formidable Kinetic الأقدم من 1.1.02 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر `kinetic link`. تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل الدالة `FrmKinetic::link()`. وعلى وجه التحديد، يتم ربط سمات الرمز المختصر التي يزودها المستخدم، وهي `window` و`class` و`label`، مباشرةً بسمات HTML لعلامة الارتباط. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.1.01. كإجراء تخفيفي مؤقت، قم بتقييد استخدام الرمز المختصر `kinetic link` أو قم بتحديد أذونات المستخدمين لمنع المساهمين من تعديل الصفحات.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات CC Child Pages الأقدم من 2.1.2 **الوصف** يحتوي المكون الإضافي CC Child Pages الخاص بـ WordPress على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `more`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 2.1.2 أو أحدث. كحل مؤقت، قم بتقييد الوصول إلى المعلمة `more` للمستخدمين الذين يتمتعون بأذونات على مستوى «المساهم» (Contributor).

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Meta Field Block» الأقدم من 1.5.3 **الوصف** يحتوي المكون الإضافي «Meta Field Block» الخاص بـ WordPress على ثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) ناتجة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية عبر سمة الكتلة `tagName`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.5.2. كحل مؤقت، قم بتقييد الوصول إلى سمة الكتلة `tagName` للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.