Paul Serban

توجد مشكلة في فقدان التصريح في Abilities API ضمن ملف `main/abilitiesregister.php`. يسمح هذا الخلل للمهاجمين الذين لديهم صلاحيات بمستوى مساهم بتجاوز القيود المقررة لأن واجهة برمجة التطبيقات تتطلب فقط صلاحية `edit posts`. وبناءً على ذلك، يمكن للمهاجم إنشاء أو قراءة أو تحديث أو حذف المنشورات والصفحات الخاصة بالمستخدمين الآخرين، بالإضافة إلى تعديل قوالب المظهر على مستوى الموقع بالكامل، بما في ذلك الرؤوس والتذييلات.

An authorization flaw exists in the gallery conversion REST endpoint. The endpoint verifies if a user can edit the source post but fails to check if they have the necessary permissions to publish a gallery, while simultaneously using a hard-coded publish status. This allows authenticated users with low privileges, such as those with Contributor roles, to create and publish galleries. Additionally, attackers can provide arbitrary image IDs without ownership verification to publish unauthorized content using attachments they are not authorized to use. Over 100,000 installations are potentially affected.

A stored cross-site scripting issue allows authenticated users with Author-level privileges or higher to inject arbitrary HTML elements. This occurs because the `ditty layout render tag wrapper()` function inserts wrapper attribute values directly as HTML element names without allowlist validation. This process bypasses `wp kses post()` sanitization, as the sanitization occurs during the save process before the layout tag attributes are resolved during rendering. Consequently, the injected payload executes in the browser of any visitor viewing posts or pages that embed the affected Ditty item.

يحتوي مكون «Log Viewer» على ثغرة تسمح بحقن أوامر نظام التشغيل. يمكن للمهاجمين المصادق عليهم تنفيذ أوامر عشوائية عن طريق إرسال مدخلات غير مُعقمة عبر المعلمة `filter`، والتي يتم إدراجها مباشرةً في أمر شل داخل ملف File.php. باستخدام حمولات استبدال الأوامر في المعلمة `filter`، يمكن للمهاجمين تنفيذ الأوامر بصفة مستخدم webconfig ومن ثم رفع الامتيازات إلى مستوى الجذر (root) بسبب أذونات sudo الافتراضية NOPASSWD الممنوحة لهذا المستخدم.