Prism

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** ERP: مجموعة كاملة من برامج الموارد البشرية والمحاسبة وإدارة علاقات العملاء (CRM) المصممة لـ WooCommerce، الإصدارات الأقدم من 1.17.7 **الوصف** يوجد ثغرة في عملية تجاوز التفويض لأن المكون الإضافي يفشل في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بإنشاء مواقع شركات عشوائية داخل قاعدة بيانات ERP. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.17.6.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Kirki – أداة إنشاء الصفحات الحرة، وأداة إنشاء المواقع الإلكترونية وتخصيصها، الإصدارات الأقدم من 6.0.14 **الوصف** يحتوي المكون الإضافي على ثغرة في تجاوز الدلائل (Directory Traversal)، والتي تحدث عندما يفشل التطبيق في تنقية المدخلات التي يقدمها المستخدم والمستخدمة لإنشاء مسار ملف بشكل صحيح، مما يسمح بالوصول إلى ملفات أو دلائل خارج المجلد المقصود. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المحرر أو أعلى استغلال هذا الثغرة عبر المعلمة `family` لحذف مجلدات عشوائية على الخادم، مما قد يؤدي إلى فقدان البيانات وتعطل الخدمة. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 6.0.14 أو أحدث. تجنب استخدام المعلمة `family` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** ChatHelp – زر «انقر للدردشة»، وWooCommerce Chat to Order، ونموذج الدردشة العائم، الإصدارات الأقدم من 3.5.2 **الوصف** تؤدي عدم كفاية عملية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). ويتم ذلك عن طريق حقن نصوص برمجية ويب عشوائية عبر سمات الرموز المختصرة `number` و`group`، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى الإصدار 3.5.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Kali Forms — Contact Form & Drag-and-Drop Builder، الإصدارات الأقدم من 2.4.19 **الوصف** تسمح عملية تنقية المدخلات غير الكافية وتفادي المخرجات للمهاجمين غير المصادق عليهم بتنفيذ هجوم ”البرمجة النصية عبر المواقع المخزنة“ (XSS)، وهي تقنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. يمكن للمهاجمين حقن برامج نصية ويب عشوائية من خلال قيمة حقل `digitalSignature`. يتم تنفيذ هذه البرامج النصية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. يكون الهجوم ممكنًا لأن الرقم العشوائي المطلوب لإرسال النموذج متاح للجمهور على أي صفحة تحتوي على الرمز المختصر للنموذج. **التوصيات** كحل مؤقت، قم بتعطيل المكون الإضافي أو استبداله حتى يتوفر إصلاح. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP Hotel Booking الأقدم من 2.3.3 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين غير المصادق عليهم من تنفيذ هجوم «التنفيذ المنعكس عبر المواقع» (Reflected Cross-Site Scripting). يحدث هذا عندما يخدع المهاجم المستخدم ليضغط على رابط يحتوي على نص برمجي ضار تم إدخاله عبر المعلمة `check in date`، والذي يتم تنفيذه بعد ذلك في متصفح المستخدم. **التوصيات** قم بتحديث WP Hotel Booking إلى الإصدار 2.3.3 أو أحدث. كإجراء مؤقت للتخفيف من المخاطر، قم بتقييد أو تنقية المدخلات التي تتلقاها المعلمة `check in date`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WPBot – روبوت الدردشة بالذكاء الاصطناعي للدعم المباشر، وتوليد العملاء المحتملين، وخدمات الذكاء الاصطناعي؛ الإصدارات السابقة للإصدار 8.5.7 **الوصف** يوجد ثغرة في عملية تجاوز التفويض، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى أن يقوموا بإعادة تضمين مستندات RAG (Retrieval-Augmented Generation) المخزنة بشكل تعسفي. تؤدي هذه العملية إلى تعديل جدول `rag documents`، مما يؤدي إلى الاستهلاك غير المصرح به لرصيد واجهة برمجة تطبيقات الذكاء الاصطناعي (AI API) المدفوعة الخاصة بمالك الموقع من مزودي خدمات مثل OpenAI أو Gemini أو OpenRouter أو xAI. **التوصيات** قم بتحديث WPBot – AI ChatBot for Live Support, Lead Generation, AI Services إلى الإصدار 8.5.7 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Cache Purger الأقدم من 2.3.21 **الوصف** يوجد ثغرة في إجراءات التفويض، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات معينة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى أن يقوموا باقتطاع سجل تدقيق مسح ذاكرة التخزين المؤقت الموجود في `wp-content/purge.log` بشكل دائم، مما يؤدي إلى تدمير سجل التدقيق بالكامل. ويحدث ذلك لأن الرقم العشوائي `tcp log purge` يظهر في شريط الإدارة على صفحات الواجهة الأمامية، مما يوفر لجميع المستخدمين المصادق عليهم الرمز المميز اللازم لتشغيل عملية الحذف. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.3.20.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP TripAdvisor Review Slider الأقدم من 14.7 **الوصف** يؤدي عدم إجراء عملية «إسكاب» كافية للمدخلات التي يقدمها المستخدم، بالإضافة إلى عدم إعداد استعلامات SQL بشكل سليم، إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى من تنفيذ هجوم حقن SQL عام. من خلال التلاعب بالمعلمة `filtersource`، يمكن للمهاجم إضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث WP TripAdvisor Review Slider إلى الإصدار 14.7 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الوظائف الإدارية التي تستخدم المعلمة `filtersource`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات SEO Booster الأقدم من 7.3.2 **الوصف** توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى بتنفيذ هجوم حقن SQL قائم على الوقت. ويحدث ذلك بسبب عدم إجراء عملية «إسكيب» كافية للمعلمة `orderby` وعدم إعداد استعلام SQL بشكل صحيح. على الرغم من استخدام `esc sql()` و`sanitize text field()`، إلا أنهما لا يعطلان كلمات SQL الرئيسية، أو الفواصل، أو الأقواس، أو بناء جملة الاستعلام الفرعي داخل سياق ORDER BY غير المحاط بعلامات اقتباس، مما يسمح للمهاجم بالتحكم في الجملة لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث SEO Booster إلى الإصدار 7.3.2 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول على مستوى المسؤول إلى إعدادات المكون الإضافي لتقليل مخاطر الاستغلال إلى أدنى حد.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Product Feed Manager For WooCommerce» الأقدم من 7.6.2 **الوصف** يؤدي عدم كفاية عملية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بتنفيذ هجوم «Reflected Cross-Site Scripting». ويحدث ذلك عندما يخدع المهاجم المستخدم لحمله على النقر على رابط يحتوي على برنامج نصي ضار تم حقنه عبر معلمة البحث `s`. الهجوم عبر البرمجة النصية بين المواقع المنعكسة (Reflected Cross-Site Scripting) هو نوع من الهجمات يتم فيه انعكاس البرنامج النصي من تطبيق ويب إلى متصفح المستخدم. **التوصيات** قم بالتحديث إلى الإصدار 7.6.2 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى وظيفة البحث التي تستخدم المعلمة `s`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Quiz Master Next السابقة للإصدار 11.2.1 **الوصف** توجد مشكلة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بتنفيذ هجوم حقن SQL من الدرجة الثانية. يحدث هذا لأن معالج AJAX `qsm ajax save pages()` لا يقوم بتشفير المعلمة `pages` بشكل كافٍ، كما أن الدالة `qsm options questions tab content()` لا تستخدم `$wpdb->prepare()` أو تحويل القيم إلى أعداد صحيحة عند إدراج معرّفات الصفحات المخزنة في جملة IN(). يمكن للمهاجم زرع حمولة SQL يتم تنفيذها عندما يقوم أي مستخدم، بما في ذلك المسؤول، بعرض علامة التبويب «الأسئلة» في أحد الاختبارات، مما قد يسمح باستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بالتحديث إلى إصدار أحدث من 11.2.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Customize My Account for WooCommerce – إصدارات Live My Account Customizer الأقدم من 4.4.15 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى مدير المتجر أو أعلى من تنفيذ هجمات «Stored Cross-Site Scripting». ويتم ذلك عن طريق حقن نصوص برمجية ويب عشوائية عبر المعلمة `row type`، والتي يتم تنفيذها بعد ذلك عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 4.4.15 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة `row type` للمستخدمين الذين يتمتعون بأذونات على مستوى مدير المتجر.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Tickera – بيع التذاكر وإدارة الفعاليات، الإصدارات الأقدم من 3.6.0.1 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية عبر سمة الرمز القصير `price wrapper`. يتم تنفيذ هذه البرامج النصية عندما يزور المستخدم الصفحة المتأثرة، بشرط أن يكون لدى الضحية معرّف التذكرة المشار إليه في ملف تعريف الارتباط الخاص بسلة التسوق، مما يعني أن الحمولة لا يتم تشغيلها إلا للمستخدمين الذين أضافوا تلك التذكرة المحددة مسبقًا إلى سلة التسوق الخاصة بهم. **التوصيات** قم بتحديث Tickera – Sell Tickets & Manage Events إلى الإصدار 3.6.0.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Themify Builder الأقدم من 7.7.8 **الوصف** يوجد ثغرة في تجاوز إجراءات التفويض، حيث يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى استبدال أو حذف ملفات أوراق أنماط CSS التي تم إنشاؤها لمنشورات عشوائية، بما في ذلك المنشورات الخاصة والمسودات التي تخص مستخدمين آخرين، وتعديل خيارات الخطوط الخاصة بالمكوّن الإضافي. ويتم تسهيل ذلك بواسطة الرقم العشوائي CSRF `tf nonce`، الذي يتم الكشف عنه على صفحات واجهة المستخدم العامة للمكوّن الإضافي عبر `wp localize script`، مما يسمح لأي مستخدم مصادق عليه بالحصول عليه. **التوصيات** قم بتحديث Themify Builder إلى الإصدار 7.7.8 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات SEO Booster الأقدم من 7.3.2 **الوصف** توجد مشكلة تتمثل في عدم كفاية عملية الترميز (escaping) للمدخلات التي يقدمها المستخدم، وعدم الإعداد السليم لاستعلامات SQL، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المسؤول أو أعلى بتنفيذ هجمات حقن SQL. من خلال التلاعب بالمعلمة `sort field`، يمكن للمهاجم إضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بالتحديث إلى إصدار أحدث من 7.3.1. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الوظيفة التي تستخدم المعلمة `sort field`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Tickera – بيع التذاكر وإدارة الفعاليات، الإصدارات الأقدم من 3.6.0.1 **الوصف** توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول من المستوى «مخصص» أو أعلى بتنفيذ هجوم حقن SQL عام. ويحدث ذلك بسبب عدم كفاية عملية «الهروب» (escaping) للبيانات التي يقدمها المستخدم، وعدم إعداد استعلام SQL بشكل سليم. من خلال التلاعب بالمعلمة `s`، يمكن للمهاجم إضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.6.0.0. تجنب استخدام المعلمة `s` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Advance Product Search- Voice & Ajax Search for WooCommerce، الإصدارات الأقدم من 1.4.5 **الوصف** توجد ثغرة تسمح للمهاجمين غير المصادق عليهم بإلحاق استعلامات SQL إضافية إلى الاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات. ويحدث ذلك بسبب عدم كفاية عملية الترميز للمعلمات التي يدخلها المستخدم، وعدم إعداد استعلام SQL بشكل كافٍ. يتم استغلال هذه الثغرة عبر المعلمتين ’s‘ و`match` في وظيفة البحث. **التوصيات** قم بتحديث «Advance Product Search - Voice & Ajax Search for WooCommerce» إلى الإصدار 1.4.5 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى وظيفة البحث التي تستخدم المعلمتين `s` و`match`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Delicious Recipes الأقدم من 1.10.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر سمة «steps» الخاصة بالكتلة. تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل الدالة `wrap direction text()`. وعلى وجه التحديد، تقوم الدالة بإدراج قيمة `href` التي يزودها المستخدم من عقد الروابط المتداخلة (`$node[’props‘][’href‘]`) مباشرةً في علامة الارتباط (anchor tag) باستخدام `sprintf()` دون تطبيق `esc url()` أو إجراء التحقق من صحة مخطط عنوان URL. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية، مثل عناوين URI التي تبدأ بـ javascript:، في الصفحات. يتم تنفيذ هذه البرامج النصية عندما يقوم مستخدم، مثل محرر أو مسؤول، بمعاينة المنشور المعلق والنقر على الرابط الخبيث. **التوصيات** قم بتحديث Delicious Recipes إلى الإصدار 1.10.3 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد المستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم من تعديل سمة كتلة «الخطوات».

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MxChat – روبوت دردشة يعمل بالذكاء الاصطناعي وإنشاء المحتوى لـ WordPress، الإصدارات الأقدم من 3.2.11 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات ضمن إعدادات الإدارة. وهذا يسمح للمهاجمين المصادق عليهم الذين يمتلكون أذونات على مستوى المسؤول أو أعلى بإدخال نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. تؤثر هذه المشكلة بشكل خاص على التثبيتات متعددة المواقع والبيئات التي تم فيها تعطيل `unfiltered html`. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.2.10.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** MultiVendorX – إصدارات «WooCommerce Multivendor Marketplace AI Powered Solutions» الأقدم من 5.0.10 **الوصف** توجد ثغرة أمنية تتمثل في عدم كفاية عملية «الهروب» (escaping) للمدخلات التي يقدمها المستخدم، بالإضافة إلى عدم إعداد الاستعلامات بشكل صحيح، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى بتنفيذ هجمات حقن SQL. يحدث ذلك عبر المعلمة `order by` في نقطة نهاية المعاملات. يمكن للمهاجمين إضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. ويكون هذا الأمر قابلاً للاستغلال بشكل خاص عندما يتم تكوين إعداد الموافقة على المتاجر بحيث تتم الموافقة تلقائيًا على مالكي المتاجر، حيث يمكن لأي مستخدم مسجل الدخول التسجيل بنفسه كمالك متجر عبر نقطة نهاية REST العامة للمتاجر للحصول على الصلاحية اللازمة `edit stores`. **التوصيات** قم بتحديث MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions إلى الإصدار 5.0.10 أو أحدث. قم بتقييد استخدام المعلمة `order by` في نقطة نهاية المعاملات كإجراء تخفيفي مؤقت. قم بتعطيل الموافقة التلقائية على مالكي المتاجر في إعدادات المكون الإضافي لمنع المستخدمين غير المصرح لهم من الحصول على صلاحية `edit stores`.