Nguyen Hung

يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى رفع امتيازاتهم إلى مستوى المسؤول. يحدث هذا لأن معالج `ajax ayi action()` يفشل في استخدام قائمة السماح عند معالجة المتغيرين `type` و`postid` من المصفوفة `$ POST`، حيث يطبق فقط `strip tags(esc sql())` قبل تمريرهما إلى الدالة `update ayi data()`. تستدعي هذه الدالة لاحقًا `update user meta()`، مما يسمح للمهاجم بكتابة `[’subscriber‘=>true,’administrator‘=>’administrator‘]` في بيانات المستخدم الوصفية الخاصة به `wp capabilities` عن طريق تعيين `type` إلى `wp capabilities` و`postid` إلى `administrator`. ونتيجة لذلك، تتعرف `WP User::get role caps()` على المفتاح `administrator` باعتباره دورًا نشطًا خلال الطلب التالي.

توجد ثغرة في عملية المصادقة تسمح بالاستيلاء على حساب المسؤول. تنشأ المشكلة عن خطأ منطقي في الدالة `get user permissions()` داخل `HippooPermissions`، والتي تُرجع قيمة حارس (sentinel) فارغة متطابقة لكل من المسؤولين والزوار غير المصادق عليهم. تفسر الدالة `has role access()` هذه القيمة على أنها وصول كامل للمسؤول، مما يؤدي إلى قيام الدالة `override extension permission callback()` بتعيين ` return true` كاستدعاء رد الإذن لجميع مسارات REST الخاصة بـ WordPress و WooCommerce التي تم استنساخها تحت نقطة النهاية ’/wc-hippoo/v1/ext/‘ بواسطة الدالة `re register external routes()`. بالإضافة إلى ذلك، يفشل حارس ما قبل الإرسال `block unauthorized access()` في حظر المستخدمين غير المصادق عليهم بسبب نفس الخطأ المنطقي. وهذا يسمح للمهاجمين غير المصادق عليهم باستدعاء نقاط نهاية REST الأساسية دون بيانات اعتماد، وتحديدًا عن طريق إرسال طلب POST إلى ’/wc-hippoo/v1/ext/wp/v2/users/<id>‘ مع متغير `password` في نص الطلب لإعادة تعيين كلمة مرور أي مستخدم، بما في ذلك مسؤول الموقع.

يحدث قصور في التحقق من صحة أنواع الملفات عند تكوين أنواع مخصصة في القائمة السوداء، حيث يقوم النظام باستبدال القائمة الافتراضية للملحقات الخطرة الممنوعة بدلاً من دمجها معها. بالإضافة إلى ذلك، يمكن تجاوز الدالة `wpcf7 antiscript file name()` باستخدام أسماء ملفات تحتوي على أحرف غير ASCII. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية، مثل ملفات PHP، إلى الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.