Pnn219

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WP Inventory WP Inventory Manager wp-inventory-manager allows Reflected XSS.This issue affects WP Inventory Manager: from n/a through 2.5.9.

توجد ثغرة تزوير الطلبات عبر المواقع حيث تقبل نقاط النهاية '/admin/product/combinations/update' و '/admin/product/default-price/update' طلبات GET دون التحقق من رموز anti-CSRF. يتيح ذلك للمهاجم خداع مسؤول نظام مسجل الدخول للنقر على رابط مفخخ لتعديل تفاصيل تركيبات المنتجات، بما في ذلك الأسعار والمخزون والوزن و EAN وعلامات البيع، مما قد يؤدي إلى تصفير الأسعار المحذوفة.

توجد ثغرة cross-site scripting مخزنة تتيح لمديري المكتب الخلفي المصرح لهم بصلاحيات تحديث المتجر حقن النصوص البرمجية. يحدث هذا من خلال تحميل صور SVG غير مصفاة عبر المتغيرات `logo file` أو `banner file`. يتم تقديم النصوص البرمجية الخبيثة، باستخدام حمولة onload، من نقطة النهاية '/admin/store-media/logo' أو دليل 'public cache/images/store/'، مما يسمح بتنفيذها ضد الزوار والمديرين ذوي الصلاحيات الأعلى.

توجد ثغرة cross-site scripting مخزنة في دالة `getSummary()` ضمن فئة `ForSomeCustomers`. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية خبيثة من خلال أسماء العملاء غير المفلترة. ومن خلال التسجيل باستخدام حمولة نصية برمجية كاسم لهم، يتم تنفيذ النص عندما يقوم المسؤولون بعرض الكوبونات ذات الصلة، مما قد يسمح بسرقة رموز CSRF (تزوير الطلبات عبر المواقع)—وهي تقنية تستخدم لانتحال شخصية المستخدم—لإنشاء حسابات مسؤول غير مصرح بها.

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) في المكتب الخلفي (back office)، حيث تتسرب رموز CSRF الخاصة بالجلسة عبر سلاسل استعلام URL. يسمح هذا للمهاجمين بتزوير إجراءات إدارية من خلال إعادة استخدام الرموز المسربة أو استهداف دالتي `setToggleVisibilityAction()` و `updatePositionAction()` غير المحميتين. وبناءً على ذلك، يمكن خداع المسؤولين المسجلين دخولهم لحذف أو إخفاء أو إعادة ترتيب كائنات التكوين والكتالوج.

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) تسمح للمهاجمين عن بُعد بحذف علامات الصفحة والمستندات والصور. يحدث هذا لأن مسارات الحذف في المكتب الخلفي (back-office) تفتقر إلى رموز CSRF—وهي معرفات فريدة تُستخدم لمنع الطلبات غير المصرح بها—وإلى فحوصات الأذونات. يمكن للمهاجمين استدراج مسؤول تسجيل الدخول للانتقال إلى طلبات GET مصممة خصيصاً تتنقل عبر معرفات تسلسلية لإزالة صور TheliaLibrary وملفاتها ومتغيراتها عبر الصفحات والمنتجات والفئات.

توجد ثغرة من نوع Cross Site Scripting (XSS) غير مصادق عليها، والتي تسمح للمهاجم بتنفيذ برمجيات خبيثة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة.

توجد مشكلة في استهلاك الموارد غير المنضبط ضمن معالج Automatic Persisted Query. يمكن للمهاجمين غير المصرح لهم تثبيت مستندات استعلام غير محدودة عن طريق إرسال استعلامات متميزة تتطابق في قيم `queryId` من نوع SHA-256، بما في ذلك العمليات المجمعة. تؤدي هذه العملية إلى نمو جدول `wp posts` بشكل غير محدود، مما يتسبب في تدهور أداء قاعدة البيانات.

تسمح ثغرة الكشف عن المعلومات المهاجمين غير المصرح لهم بتحديد وجود كائنات معينة من خلال تحليل استجابات الخطأ المتميزة. ومن خلال تكرار المعرفات (IDs) مقابل طفرات `deleteMediaItem` و `updateMediaItem` و `deleteComment` و `updateComment` يمكن للمهاجمين اكتشاف المسودات المخفية، والمنشورات الخاصة أو الموجودة في المهملات، وأنواع المنشورات المخصصة، والتعليقات غير المعتمدة.

توجد مشكلة تتمثل في غياب تحديد معدل الطلبات، مما يسمح للمهاجمين غير المصرح لهم بإغراق النظام برسائل البريد الإلكتروني لإعادة تعيين كلمة المرور. يتم ذلك عن طريق استخدام أسماء مستعارة (aliasing) لطفرة `sendPasswordResetEmail` ، مما يمكن المهاجم من إرسال طلب HTTP واحد يحتوي على العديد من الأسماء المستعارة. تتجاوز هذه التقنية `batch limit` ، مما قد يؤدي إلى استنفاد حصة مزود خدمة البريد الإلكتروني وتدوير مفاتيح إعادة التعيين بشكل متكرر، مما يعيق عمليات استعادة كلمة المرور المشروعة.

يوجد خلل في التصريح في طفرة `createComment`. يسمح هذا للمستخدمين غير المصرح لهم بتجاوز فحوصات حالة المنشور وإضافة تعليقات إلى المنشورات غير العامة، بما في ذلك المسودات، أو المنشورات الخاصة، أو الموجودة في سلة المهملات، أو المحمية بكلمة مرور. يمكن أن يؤدي ذلك إلى تعداد معرفات المنشورات، وتسريب العناوين المخفية من خلال إشعارات المشرفين، والقدرة على تغيير تاريخ التعليقات أو تحديدها كـ pingbacks.

يحدث ثغرة cross-site scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمستخدمين المصرح لهم بصلاحيات مساهم (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية عبر سمة `base-url` في الأكواد القصيرة `[mpg]` و `[mpg match]`. يمكن للمهاجمين استخدام حمولات مشفرة تتجاوز kses (وظيفة في WordPress تُستخدم لتعقيم HTML) ولكن يتم فك تشفيرها لاحقاً بواسطة `html entity decode()` ويتم عرضها دون معالجة من خلال `{{mpg url}}` مما يؤدي إلى تنفيذ النصوص البرمجية في متصفحات المسؤولين.

يوجد نقص في التحقق من التصريح في معالج AJAX `update fees` مما يسمح للمهاجمين غير المصرح لهم بقراءة وتعديل طلبات العملاء الآخرين. من خلال إعادة استخدام nonce من صفحة دفع الطلبات الخاصة بهم وتزويد قيم `order id` متسلسلة، يمكن للمهاجمين تغيير طرق الدفع، وإعادة حساب الرسوم، والكشف عن إجمالي الطلبات وبنودها.