Nudien

The Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via unfiltered html Grant to Customer Role in all versions up to, and including, 3.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires WooCommerce to be active, but since the customer role is freely self-registerable without admin approval, exploitation is effectively possible by any unauthenticated visitor who registers a WooCommerce account. While the plugin's own listing-page templates sanitize output with wp kses post(), the stored payload is returned unsanitized via the unauthenticated GET /wp-json/wp/v2/comments REST endpoint (content.rendered) and post/comment RSS feeds, exposing any headless client, feed reader, or third-party widget that renders comment content.

**Name of the Vulnerable Software and Affected Versions** Frontend Admin by DynamiApps versions prior to 3.29.13 **Description** Insufficient file path validation in the `move folders()` function allows unauthenticated attackers to delete arbitrary files on the server. This issue is exploitable when a form is configured with public visibility (`who can see='all'`), as the required nonce is publicly obtainable from the rendered form. Deleting critical files, such as `wp-config.php`, can lead to remote code execution. **Recommendations** Update the plugin to version 3.29.13 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Link Library الأقدم من 7.9.5 **الوصف** يؤدي عدم كفاية التحقق من صحة مسار الملف في الدالة `ll delete link fields()` إلى تمكين المهاجمين غير المصادق عليهم من حذف ملفات عشوائية على الخادم. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد في حالة حذف ملفات مهمة، مثل `wp-config.php`. يحدث الاستغلال إذا كان المسؤول قد قام بتمكين خيار «حذف الملف المحلي عند حذف الرابط» (Delete local file on link deletion)، ثم قام بعد ذلك بإجراء عملية مراقبة روتينية عن طريق الحذف الدائم لرابط أرسله المهاجم. **التوصيات** قم بالتحديث إلى إصدار أحدث من 7.9.4. قم بتعطيل خيار المكون الإضافي «حذف الملف المحلي عند حذف الرابط» (Delete local file on link deletion) لمنع الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Search Analytics for WP الأقدم من 1.4.17 **الوصف** هذا المكون الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتمكن من خلاله المهاجم من خداع الضحية لتنفيذ إجراءات لم تكن في نيتها. يحدث هذا بسبب عدم وجود أو خطأ في التحقق من صحة الرمز العشوائي (nonce) — وهو رمز أمان يُستخدم للتحقق من شرعية الطلب — داخل الدالة `process bulk action()` في `MWTSA Stats Table`. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الثغرة لحذف سجلات مصطلحات البحث العشوائية وصفوف سجل البحث المرتبطة بها عن طريق حث مستخدم لديه حق الوصول إلى لوحة تحكم Search Analytics، مثل المسؤول، على النقر على رابط ضار. **التوصيات** قم بتحديث Search Analytics for WP إلى الإصدار 1.4.17 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MyParcel الأقدم من 4.25.2 **الوصف** يحتوي المكون الإضافي MyParcel الخاص بـ WordPress على ثغرة في عملية المصادقة تسمح للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى بعرض وتعديل خيارات الشحن في أي طلب شراء. ويشمل ذلك تفاصيل مثل شركة الشحن، ونوع التسليم، ونوع الطرد، وعدد الملصقات، والوزن، وشرط التوقيع، والتأمين. تحدث هذه المشكلة لأن المكون الإضافي يفشل في التحقق بشكل صحيح من تفويض المستخدم عند معالجة إجراءات AJAX `wcmp get shipment options` و`wcmp save shipment options`. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.25.1. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى إجراءات AJAX `wcmp get shipment options` و`wcmp save shipment options` للمستخدمين الذين يتمتعون بأذونات على مستوى المشترك.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «DSGVO All in one for WP» السابقة للإصدار 5.0 **الوصف** يحتوي المكون الإضافي على ثغرة تتعلق بنقص في إجراءات التفويض داخل الدالة `dsgvo reset policy service func()`. تفشل هذه الدالة في إجراء فحوصات الصلاحيات والتحقق من الرقم العشوائي (nonce) عند معالجة المعلمات التي يقدمها المستخدم لإعادة تعيين خيارات المكون الإضافي. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بإعادة تعيين محتوى سياسة الخصوصية المخصصة، بما في ذلك إشعارات ملفات تعريف الارتباط وسياسات Google Analytics وFacebook وYouTube، إلى قيمها الافتراضية. **التوصيات** قم بالتحديث إلى إصدار أحدث من 4.9. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة `dsgvo reset policy service func()`.