Powpy

An authorization bypass and Stored Cross-Site Scripting (XSS) issue exists due to missing capability checks on popup management actions. Authenticated users with Subscriber-level access or higher can exploit multiple AJAX endpoints to create arbitrary popups and inject malicious JavaScript. This script executes when the popup is displayed to other users. Stored XSS is a type of vulnerability where a malicious script is permanently stored on the target server.

يحتوي المكون الإضافي «Appointment Booking Calendar» الخاص بـ WordPress على ثغرة أمنية من نوع «Stored Cross-Site Scripting» ناتجة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في تسميات حقول الحجز المخصصة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «Author» أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة.

المكوّن الإضافي «نظام إدارة المكتبة» لـ WordPress معرض لخطر حقن SQL بسبب عدم كفاية التحقق من صحة المدخلات وإعداد الاستعلامات. وعلى وجه التحديد، لا يتم تنقية المعلمة `bid` بشكل صحيح، مما يسمح للمهاجمين بحقن تعليمات برمجية SQL ضارة. وقد يتيح ذلك للمهاجمين غير المصادق عليهم استخراج معلومات حساسة من قاعدة البيانات عن طريق إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة.

المكوّن الإضافي WP Customer Reviews الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) الانعكاسي. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمعلمة `wpcr3 fname`. يمكن لمهاجم غير معتمد حقن نصوص برمجية تعسفية في الصفحات، والتي سيتم تنفيذها إذا تم حث المستخدم على القيام بإجراء ما، مثل النقر على رابط ضار.

يُعتبر المكون الإضافي midi-Synth لـ WordPress عرضة لتحميل ملفات عشوائية بسبب عدم التحقق من نوع الملف وامتداده داخل إجراء AJAX ”export“. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية إلى الخادم المتأثر. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد إذا تمكن المهاجم من الحصول على رقم عشوائي (nonce) صالح، والذي يكون مكشوفًا في جافا سكريبت للواجهة الأمامية.

المكوّن الإضافي TableMaster for Elementor الخاص بـ WordPress معرض لخطر تزوير الطلبات من جانب الخادم (SSRF). ويعود السبب في ذلك إلى أن المكون الإضافي لا يفرض قيودًا على عناوين URL التي يمكن الوصول إليها عند استيراد بيانات CSV من عنوان URL باستخدام عنصر واجهة المستخدم «جدول البيانات». يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى إرسال طلبات ويب إلى مواقع عشوائية، بما في ذلك localhost وخدمات الشبكة الداخلية. ويمكن قراءة الملفات الحساسة، مثل `wp-config.php`، من خلال المعلمة `csv url`.

المكوّن الإضافي SearchWiz لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال عناوين المنشورات المعروضة في نتائج البحث. تحدث هذه المشكلة لأن المكون الإضافي يستخدم `esc attr()` بدلاً من `esc html()` عند عرض عناوين المنشورات، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى بإدخال نصوص برمجية ويب ضارة في عناوين المنشورات. يتم تنفيذ هذه النصوص البرمجية عندما يقوم المستخدم بإجراء بحث وعرض الصفحة الناتجة. المكون المعرض للخطر هو معالجة عناوين المنشورات في نتائج البحث.

المكوّن الإضافي ConvertForce Popup Builder لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). تنجم المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل السمة `entrance animation` في كتلة Gutenberg. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب ضارة في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يزور مستخدم ما الصفحة المخترقة. المعلمة المعرضة للخطر هي `entrance animation`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي «Header and Footer Scripts» لـ WordPress حتى الإصدار 2.2.2 بما في ذلك الوصف المكوّن الإضافي «Header and Footer Scripts» لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال المعلمة ` inpost head script`. يؤدي عدم كفاية تنقية المدخلات وعدم كفاية تصفية المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. المعلمة ` inpost head script` هي نقطة الدخول لهذه المشكلة. التوصيات قم بتحديث المكون الإضافي Header and Footer Scripts إلى إصدار أحدث من 2.2.2.

المكوّن الإضافي معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Cross-Site Scripting Armazenado) من خلال رمزه المختصر (shortcode) بسبب عدم تطهير المدخلات بشكل كافٍ وعدم وجود آلية الهروب في مخرجات السمات التي يقدمها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول ”مساهم“ أو أعلى بحقن نصوص برمجية ويب ضارة في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يزور مستخدم ما الصفحة المخترقة.

المكوّن الإضافي My Album Gallery لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» المخزّن (Cross-Site Scripting) من خلال سمة الشفرة المختصرة `style css`. يؤدي عدم كفاية عملية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقن النص البرمجي فيها.

المكون الإضافي Page Expire Popup/Redirection لـ WordPress معرض لمشكلة حقن SQL تعتمد على الوقت. ويحدث ذلك بسبب عدم معالجة المدخلات التي يقدمها المستخدم بشكل صحيح وعدم إعداد استعلامات SQL الحالية بشكل كافٍ، وتحديداً من خلال سمة الشورتكود `id`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مؤلف» أو أعلى إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

يوجد ثغرة في نظام التفويض في برنامج Eduardo Villão MyD Delivery بسبب إعدادات غير صحيحة لمستويات أمان التحكم في الوصول. وهذا يسمح بالاستغلال من خلال مفتاح يتحكم فيه المستخدم.

يوجد ثغرة في عملية المصادقة بسبب إعدادات غير صحيحة لمستويات أمان التحكم في الوصول. وهذا يسمح بالاستغلال من خلال مفتاح يتحكم فيه المستخدم. تؤثر هذه المشكلة على المكون الإضافي Order Cancellation & Returns for WooCommerce.

يوجد ثغرة تتعلق بنقص في التفويض في برنامج Mykola Lukin Orders Chat for WooCommerce، ناتجة عن إعدادات غير صحيحة لمستويات أمان التحكم في الوصول. وهذا يتيح استغلال النظام.

المكوّن الإضافي Image Photo Gallery Final Tiles Grid لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في إعداد «Custom scripts». يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» (Author) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة.

المكوّن الإضافي Image Gallery – Photo Grid & Video Gallery لـ WordPress معرض للتعديل غير المصرح به للبيانات. إن عدم وجود تحقق من الصلاحيات في الدالة `add images to gallery callback()` يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» أو أعلى بإضافة صور إلى معارض Modula الخاصة بمستخدمين آخرين.

المكوّن الإضافي «نموذج وصفة النظارات» لـ WordPress معرض لمشكلة تتعلق بغياب إجراءات المصادقة. وينتج ذلك عن عدم وجود عمليات تحقق مناسبة من الصلاحيات في إجراء AJAX RemoveItems. وهذا يسمح للمهاجمين بحذف فئات منتجات WooCommerce عشوائية، وفئاتها الفرعية، من خلال التلاعب بالمعلمة `catIds`.

المكوّن الإضافي Header Footer Script Adder – Insert Code in Header, Body & Footer لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في ميزة إضافة البرامج النصية داخل المنشورات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن برامج نصية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يزور مستخدم ما الصفحة المخترقة.

يحتوي المكوّن الإضافي Premmerce Brands for WooCommerce لـ WordPress على ثغرة تسمح بالتعديل غير المصرح به للبيانات. ويرجع ذلك إلى عدم وجود فحص للصلاحيات داخل الدالة `saveBrandsSettings`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى تعديل إعدادات الروابط الثابتة للعلامات التجارية.