Nabil Irawan

**اسم البرنامج المصاب والإصدارات المتأثرة** PeproDev Branches Map الإصدارات السابقة لـ 3.0.2 **Description** يحدث ثغرة Cross-Site Scripting (XSS) مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يتيح ذلك للمهاجمين المصرح لهم، والذين يمتلكون صلاحيات بمستوى مساهم (Contributor) أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المصابة. **Recommendations** تحديث PeproDev Branches Map إلى الإصدار 3.0.2 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** WPFront Notification Bar versions prior to 3.5.2 **Description** Reflected Cross-Site Scripting occurs when the `write debug logs` debug-log output path reflects the raw value of the `$ SERVER['REQUEST URI']` variable through the `vprintf()` function within a `<script>` block emitted on `wp footer`. This happens without proper sanitization or escaping in the `filter()` method. Unauthenticated attackers can exploit this by tricking a user into clicking a specially crafted link to inject and execute arbitrary web scripts. **Recommendations** Update WPFront Notification Bar to version 3.5.2 or later.

**Name of the Vulnerable Software and Affected Versions** ReactPress – Create React App for WordPress versions prior to 3.4.1 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with subscriber-level access and above can inject arbitrary web scripts into pages. This happens because the `permalink` parameter is processed using `sanitize url()`, which fails to prevent the fetching of remote URLs. The response body of these URLs, including script tags and event-handler attributes, is then written directly to disk using the `file put contents()` function. **Recommendations** Update ReactPress – Create React App for WordPress to version 3.4.1 or later. Avoid using the `permalink` parameter until the plugin is updated.

**Name of the Vulnerable Software and Affected Versions** RW Elephant Rental Inventory versions prior to 2.3.14 **Description** The plugin contains a missing authorization flaw. The `toggle cache()` function, which is linked to the `wp ajax toggle cache` AJAX action, does not perform a capability check or nonce verification. A nonce is a unique token used to protect against cross-site request forgery. This allows authenticated users with Subscriber-level permissions or higher to enable or disable the plugin cache by sending a POST request to the `admin-ajax` endpoint. **Recommendations** Update the plugin to version 2.3.14 or later. As a temporary mitigation, restrict access to the `toggle cache()` function.

**Name of the Vulnerable Software and Affected Versions** The Welcomizer plugin for WordPress versions prior to 2.8.2 **Description** Authenticated attackers with Subscriber-level access and above can achieve Remote Code Execution. The issue stems from missing authorization checks in the `savesection` handler of the `twiz ajax callback` AJAX action within the `twiz-ajax.php` endpoint. While the handler verifies a nonce, it fails to perform a `current user can()` capability check. Additionally, the nonce is exposed to authenticated users via the `twiz-ajax.js.php` file. This allows an attacker to inject arbitrary PHP code through the `twiz custom logic` parameter when the output choice is set to `twiz logic output`, which is then executed using the `eval()` function. **Recommendations** Update The Welcomizer plugin to version 2.8.2 or later. As a temporary mitigation, restrict access to the `twiz-ajax.php` and `twiz-ajax.js.php` files for users with low-level privileges.

**Name of the Vulnerable Software and Affected Versions** Sidebar Manager Light versions prior to 1.19 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. This allows unauthenticated attackers to inject arbitrary web scripts via the `sbm description` parameter, which execute when a user accesses an affected page. **Recommendations** Update Sidebar Manager Light to version 1.19 or later.

**Name of the Vulnerable Software and Affected Versions** Contact Form to DB by BestWebSoft – Messages Database Plugin For WordPress versions prior to 1.7.6 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. By submitting a contact form, an attacker can inject arbitrary web scripts via the `cntctfrm contact dropdown` parameter. These scripts execute within the context of an administrator's browser session when they access the message manager page at the '/wp-admin/admin.php?page=cntctfrmtdb manager' endpoint, potentially leading to the compromise of administrator-level sessions. **Recommendations** Update the plugin to version 1.7.6 or later. As a temporary mitigation, restrict access to the '/wp-admin/admin.php?page=cntctfrmtdb manager' endpoint or avoid using the `cntctfrm contact dropdown` parameter until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Checkout Custom Fields Builder for WooCommerce versions prior to 1.1.6 **Description** An authorization bypass exists because the plugin fails to properly verify if a user is authorized to perform specific actions. Authenticated attackers with subscriber-level access or higher can exploit this to install and activate an arbitrary plugin hosted by the attacker, leading to remote code execution on the server. When WooCommerce is inactive, the required nonce (a unique token used to prevent cross-site request forgery) is emitted inline on all admin pages accessible to subscribers, allowing them to harvest it and trigger the exploit without additional privileges. **Recommendations** Update Checkout Custom Fields Builder for WooCommerce to version 1.1.6 or later.

**Name of the Vulnerable Software and Affected Versions** Zephyr Project Manager versions prior to 3.3.206 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with Custom-level access or higher can inject arbitrary web scripts into pages via the `message` parameter. These scripts execute when a user accesses the affected page. This issue is only exploitable if the 'Directly link to project' plugin setting is disabled. **Recommendations** Update the plugin to a version newer than 3.3.205. Enable the 'Directly link to project' setting to prevent exploitation.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات TrueBooker الأقدم من 1.2.7 **الوصف** المكوّن الإضافي معرض لخطر الاستيلاء على الحساب لأن معالج AJAX `add front user update()` يمكن الوصول إليه من قبل مستخدمين غير مصادق عليهم. يقبل المعالج قيمة `truebooker wp user id` عشوائية ويمررها إلى الدالة `wp update user()` دون التحقق من مصادقة المستخدم أو ملكيته للحساب. وهذا يسمح لمهاجم غير مصادق عليه بتغيير عنوان البريد الإلكتروني لأي مستخدم في WordPress، بما في ذلك المسؤولون، عن طريق تقديم معرّف المستخدم المستهدف وعنوان بريد إلكتروني خاضع لسيطرته. وبالتالي، يمكن للمهاجم الاستفادة من عملية إعادة تعيين كلمة المرور القياسية في WordPress للسيطرة الكاملة على الحساب. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.2.6. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى معالج AJAX `add front user update()`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Astro Booking Engine الأقدم من 1.4.1 **الوصف** يحتوي المكون الإضافي Astro Booking Engine الخاص بـ WordPress على ثغرة أمنية من نوع «تزوير الطلبات عبر المواقع» (CSRF). وتحدث هذه الثغرة لأن وظيفة حذف الخيارات تفتقر إلى التحقق من صحة الرقم العشوائي (nonce) — وهي آلية أمنية تُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قِبل المستخدم. ونتيجة لذلك، يمكن لمهاجم غير معتمد حذف جميع إعدادات المكون الإضافي عن طريق خداع مسؤول الموقع للنقر على رابط ضار. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.4.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Theme Editor» لإصدارات WordPress السابقة للإصدار 3.2 **الوصف** المكوّن الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتم من خلاله خداع الضحية من قبل المهاجم لتنفيذ إجراءات غير مرغوب فيها على تطبيق ويب. يحدث هذا بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) — وهو إجراء أمني يُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قبل المستخدم — في إجراء AJAX `ms update`. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الثغرة لتعديل أنماط CSS للسمات الفرعية عن طريق خداع المسؤول للنقر على رابط ضار. **التوصيات** قم بتحديث المكون الإضافي Theme Editor لـ WordPress إلى الإصدار 3.2 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراء AJAX `ms update`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Database Collation Fix» الأقدم من 1.2.11 **الوصف** يحتوي المكون الإضافي «Database Collation Fix» الخاص بـ WordPress على ثغرة حقن SQL تعتمد على الوقت. وتحدث هذه الثغرة لأن المكون الإضافي يفشل في إجراء عملية «escape» بشكل صحيح للمعلمة `force-collation-algorithm`، كما يفتقر إلى الإعداد الكافي لاستعلام SQL. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة لإلحاق استعلامات SQL ضارة واستخراج معلومات حساسة من قاعدة البيانات. يتطلب الاستغلال الناجح وجود ملف `trigger.txt` في دليل المكون الإضافي (`/wp-content/plugins/database-collation-fix/trigger.txt`)، وهو ما يحدث عادةً أثناء أحداث تكامل DesktopServer مثل إنشاء الموقع أو نسخه أو استيراده أو نقله أو تصديره أو نشره. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.2.10. تجنب استخدام المعلمة `force-collation-algorithm` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WP Fast Total Search – The Power of Indexed Search، الإصدارات الأقدم من 1.80.281 **الوصف** يوجد ثغرة حقن SQL دون مصادقة بسبب عدم كفاية عملية التهرب من المدخلات التي يقدمها المستخدم، وعدم الإعداد السليم لاستعلام SQL. وهذا يسمح للمهاجمين بإلحاق استعلامات SQL إضافية بالاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات عبر المعلمة `form data[s]`. **التوصيات** قم بتحديث WP Fast Total Search – The Power of Indexed Search إلى إصدار أحدث من 1.80.280. تجنب استخدام المعلمة `form data[s]` حتى يتم تحديث المكون الإضافي.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Hide My WP Lite الأقدم من 1.4 **الوصف** توجد ثغرة تسمح بقراءة ملفات عشوائية عندما تقوم الدالة `elementor assets filter()` بمعالجة معلمات الاستعلام `he wrapper js` و`he wrapper css`. تقوم الدالة بضم المدخلات التي يقدمها المستخدم مباشرةً إلى ABSPATH وتمريرها إلى `file get contents()` دون التحقق من صحة مسار التجاوز، أو قائمة السماح، أو احتواء المسار الحقيقي، أو فحوصات الامتدادات. وعلى الرغم من أن المخرجات تتم معالجتها بواسطة `wp kses post()`، التي تقوم بتصفية علامات HTML، إلا أنها لا تمنع الكشف عن محتويات الملفات التعسفية. وهذا يسمح للمهاجمين غير المصادق عليهم بقراءة الملفات الحساسة على الخادم، مثل ملف wp-config. تتطلب هذه المشكلة تثبيت المكون الإضافي Elementor وتفعيل ميزة «Hide Elementor». **التوصيات** قم بتحديث Hide My WP Lite إلى إصدار أحدث من 1.3. كحل مؤقت، قم بتعطيل ميزة «Hide Elementor» لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** حظر، تعليق، الإبلاغ عن إصدارات BuddyPress الأقدم من 3.6.5 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك وما فوقه من تنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS). يحدث ذلك عبر المعلمة `link`، مما يتيح حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.6.4. تجنب استخدام المعلمة `link` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Widget Logic Visual الأقدم من 1.53 **الوصف** يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى تنفيذ تعليمات برمجية عن بُعد على الخادم. تحدث المشكلة أثناء إجراء AJAX `widget-logic-update-conditional-tags` بسبب عدم وجود فحص للقدرات والتحقق من الرقم العشوائي في الدالة `widget logic visual check visibility()`. بالإضافة إلى ذلك، لا يتم تنقية المعلمة `nwlv[cod-tag]` بشكل كافٍ قبل تخزينها ومعالجتها لاحقًا بواسطة استدعاء `eval()`، الذي ينفذ الكود المقدم. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.52. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراء AJAX `widget-logic-update-conditional-tags` أو قم بتحديد أذونات المستخدمين لمنع المشتركين من الوصول إلى إعدادات عناصر واجهة المستخدم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Backstage - إصدارات ”Customizer Demo Access“ الأقدم من 1.4.3 **الوصف** تسمح هذه الثغرة للمهاجمين غير المصادق عليهم بتصعيد الامتيازات. يمنح المكون الإضافي صلاحية `manage options` لدور العرض التوضيحي `backstage customizer user`، مما يوفر أذونات تتجاوز ما هو مطلوب للوصول إلى العرض التوضيحي الخاص بـ Customizer فقط. ونتيجة لذلك، يمكن للمهاجمين التنقل خارج نطاق Customizer وتعديل خيارات WordPress تعسفية، مثل المتغير `default role`. **التوصيات** قم بتحديث Backstage - Customizer Demo Access إلى إصدار أحدث من 1.4.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Jssor Slider من jssor.com، الإصدارات الأقدم من 3.1.25 **الوصف** يتعرض المكون الإضافي لثغرة «تجاوز الدلائل» (Directory Traversal)، وهي ثغرة تسمح للمهاجم بالوصول إلى الملفات والدلائل المخزنة خارج مجلد جذر الويب. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الثغرة باستخدام المعلمة `url` لقراءة ملفات عشوائية على الخادم، مما قد يؤدي إلى كشف معلومات حساسة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.1.24. تجنب استخدام المعلمة `url` في المكون الإضافي المتأثر حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP-BusinessDirectory الأقدم من 4.0.2 **الوصف** يمكن للمهاجمين غير المصادق عليهم حذف ملفات عشوائية على الخادم بسبب عدم كفاية التحقق من صحة المسار في الأسلوب `remove()` الخاص بفئة `JBusinessDirectoryControllerUpload`. يمكن الوصول إلى نقطة النهاية ’task=upload.remove‘ دون مصادقة. من خلال توفير المعلمة ` filename` التي تحتوي على تسلسلات عبور المسار (../) وتعيين المعلمة ` path type` على القيمة `2`، يمكن للمهاجم تجاوز قيود الدليل وتشغيل الدالة `unlink()` على الملفات الحساسة، مثل `wp-config.php` أو `wp-config-backup.php`. **التوصيات** تحديث WP-BusinessDirectory إلى الإصدار 4.0.2 أو أحدث. تقييد الوصول إلى نقطة النهاية ’task=upload.remove‘ لمنع الطلبات غير المصادق عليها. تجنب استخدام المعلمة ` filename` في نقطة النهاية ’task=upload.remove‘ حتى يتم تحديث البرنامج.