Mustafa Ahmed

تسمح ثغرة تفويض غير صحيح بالتصفح القسري (forceful browsing) في وحدة Webform. تفشل الوحدة في تقييد الوصول بشكل كافٍ إلى أوضاع عرض معينة للطلبات المقدمة. وبناءً على ذلك، يمكن للمستخدم الذي يملك صلاحية عرض طلب مقدم الوصول إلى وضع عرض أكثر تساهلاً ورؤية حقول من المفترض أن تكون مقيدة. يتطلب هذا أن يكون لدى المهاجم بالفعل صلاحية الوصول لعرض الطلب المتأثر.

توجد مشكلة في الوصول حيث قد يتمكن تطبيق من قراءة ملفات خارج نطاق الـ sandbox الخاص به. الـ Sandboxing هي آلية أمنية تعزل التطبيقات عن بقية النظام لمنع الوصول غير المصرح به إلى البيانات.

The settings page of the plugin lacks Cross-Site Request Forgery (CSRF) checks, which is a type of attack that forces an authenticated user to execute unwanted actions. This allows an attacker to trick a logged-in administrator into modifying the configured third-party API key. Consequently, all subsequent member registration data, including name, email, and membership level, is transmitted to an account controlled by the attacker.

يفشل المكون الإضافي في فرض عمليات التحقق من الملكية لكل كائن على نوع محتوى الدورة التدريبية الخاص به. وهذا يسمح للمستخدمين الذين يشغلون دور المدرب بالوصول إلى محتوى الدورات التدريبية الخاصة التي أنشأها مدربون آخرون وقراءتها من خلال «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والتي تحدث عندما يوفر التطبيق وصولاً مباشراً إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم دون إجراء عمليات تحقق كافية من الصلاحيات.

يفشل المكون الإضافي في التحقق مما إذا كان بائع السوق يمتلك تقييمًا ما قبل السماح بإلغاء الموافقة عليه أو حذفه. وهذا يسمح لأي بائع بتعديل أو حذف التقييمات المرتبطة بالمتاجر التي تخص بائعين آخرين بشكل دائم.

توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق مما إذا كان الموظف (المزود) الذي تمت مصادقته مرتبطًا بسجل العميل الذي يتم الوصول إليه. وهذا يسمح لأي مستخدم لديه معلومات تسجيل دخول إلى لوحة الموظفين بقراءة وتعديل البيانات الشخصية لأي عميل عن طريق تعداد المعرفات التسلسلية.

يوجد ثغرة في نقطة النهاية التي تعرض مسودات النماذج المحفوظة، مما يسمح للمستخدمين غير المصادق عليهم بالوصول إلى البيانات الشخصية المخزنة في هذه المسودات وقراءتها، بما في ذلك الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف والعناوين.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة بسبب فشل المكون الإضافي في تنقية قيمة الإعدادات وتفاديها قبل عرضها على الواجهة الأمامية للموقع. وهذا يسمح للمسؤولين، بما في ذلك أولئك الذين يفتقرون إلى صلاحية `unfiltered html` في بيئات المواقع المتعددة، بتنفيذ نصوص برمجية ضارة في سياق أي زائر يشاهد الصفحات المتأثرة.

توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق من صحة الكمية المطلوبة أثناء التسجيل في الفعاليات المدفوعة. ونظرًا لأن السعر يُحسب بناءً على الكمية التي يحددها المستخدم، يمكن لأي مستخدم مسجل إنشاء حجز كامل لفعالية مدفوعة دون إجراء الدفع.

يوجد ثغرة أمنية من نوع ”الإشارة المباشرة غير الآمنة إلى الكائن“ (IDOR) حيث يفشل البرنامج في إجراء فحص الوصول لكل تذكرة قبل إعادة تخصيص العميل الخاص بالتذكرة. وهذا يسمح لموظف الدعم ذي الصلاحيات المحدودة بتغيير العميل المخصص لأي تذكرة في النظام، بما في ذلك التذاكر التي تقع خارج نطاق صلاحياته الممنوحة.

يؤدي عدم كفاية التحقق من الصلاحيات في معالج الطلبات إلى السماح للمستخدمين الذين يحملون دور «المساهم» (Contributor) أو أعلى بالوصول إلى محتوى منشورات عشوائية. ويشمل ذلك القدرة على قراءة المنشورات الخاصة، والمنشورات المعلقة، والمسودات الخاصة بمستخدمين آخرين عبر دالة `get post info`.

توجد مشكلة تتمثل في فشل معالج قائمة العملاء في إجراء فحص للصلاحيات أو الرمز العشوائي (nonce) لكل طلب. الرمز العشوائي هو رمز فريد يُستخدم لمنع هجمات إعادة التشغيل (replay attacks) من خلال التأكد من أن الطلب مقصود وصحيح. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم بقراءة المعلومات الشخصية لجميع العملاء المخزنين.

Insufficient input sanitization and output escaping allow authenticated users with a course-editing role or higher to perform Stored Cross-Site Scripting (XSS). The issue occurs because the plugin fails to strip event-handler attributes from a course pricing field before storing and rendering it. This enables an attacker to inject arbitrary JavaScript that executes in the session of an administrator who views the affected course page.

يؤدي عدم تطبيق إجراءات التفويض بشكل كافٍ على نقاط نهاية المراسلة الخاصة إلى السماح لأي مستخدم تمت مصادقته ويتمتع بأذونات على مستوى «المشترك» أو أعلى بقراءة الرسائل الخاصة الخاصة بمستخدمين آخرين أو تعديلها أو حذفها.

هذه المشكلة عبارة عن حقن SQL من الدرجة الثانية، حيث يفشل المكون الإضافي في التحقق من صحة معرفات الحقول التي قام المسؤول بتكوينها قبل دمجها في استعلام SQL. يتم تشغيل عملية الحقن عندما يقوم زائر بإجراء عملية بحث. المتغير المعرض للخطر هو `qc bot str fields`.

يفشل معالج AJAX غير المصادق عليه في إخفاء قيمة أعيد تكوينها من مدخلات الطلب قبل عرضها في استجابة HTML. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات JavaScript تعسفية في متصفح المستخدمين الذين يطلقون طلبًا مُصممًا خصيصًا، مما يؤدي إلى هجوم «البرمجة النصية عبر المواقع» (XSS) المنعكسة. «البرمجة النصية عبر المواقع» هي تقنية يتم من خلالها حقن نصوص برمجية ضارة في مواقع ويب موثوقة.

توجد مشكلة تتمثل في عدم وجود فحص للصلاحيات عند إجراء تحديث الإعدادات. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى بتعديل إعدادات المكون الإضافي.

يوجد ثغرة أمنية من نوع ”الإشارة المباشرة غير الآمنة إلى الكائنات“ (IDOR) في العديد من معالجات AJAX الخاصة بالدروس. يفشل المكون الإضافي في التحقق من ملكية معرف المستخدم الذي يقدمه المستخدم، مما يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك بقراءة وتعديل ملاحظات الدروس الخاصة بمستخدمين آخرين ووضع علامة ”مكتمل“ على محتوى دروسهم.

توجد مشكلة في معالج إعدادات «الاسترجاع المعزز بالتوليد» (RAG)، حيث يفشل البرنامج في إجراء فحص للقدرات أو الرمز العشوائي (nonce). وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشتركين بتعديل تكوين المكون الإضافي. الرمز العشوائي (nonce) هو رمز فريد يُستخدم للحماية من هجمات تزوير الطلبات عبر المواقع (CSRF).

توجد مشكلة تتمثل في فشل المكون الإضافي في إجراء فحوصات الصلاحيات أو التحقق من CSRF/nonce عند تنفيذ إجراء AJAX. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المشترك» وما فوق بتعديل العنصر الأصلي وترتيب القائمة لأي منشورات. CSRF (تزوير الطلبات عبر المواقع) هو نوع من الهجمات التي تخدع الضحية لتقديم طلب ضار. أما nonce فهو رمز فريد يُستخدم لمنع إعادة تشغيل مثل هذه الطلبات.