Quốc Huy

The plugin fails to properly verify if a user is authorized to perform specific actions. This missing authorization allows authenticated attackers with Contributor-level access or higher to read all Contact Form 7 submission data by utilizing the `acf7db` shortcode.

Incorrect Authorization exists due to an operator precedence bug in the post-type guard within the `trash table bulk()` and `restore table bulk()` functions, which prevents the guard from executing. This is combined with a permission callback that verifies plugin role membership but fails to perform per-post-type or ownership checks. Consequently, authenticated users with subscriber-level access or higher can trash or restore any post, page, or custom post type on the site by providing arbitrary post IDs via the `ids` parameter.

يوجد ثغرة في تجاوز إجراءات التفويض بسبب أن دالة استدعاء الأذونات `duplicate post permissions()` تتحقق فقط من صلاحية `duplicate posts`، بينما لا تتحقق من صلاحية `publish posts` أو غيرها من الصلاحيات المرتبطة بالحالة. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بإنشاء منشورات مكررة ذات حالة «مستقبلية» (future) (مجدولة للنشر التلقائي) أو «خاصة» (private)، وبالتالي تجاوز المراجعة التحريرية. علاوة على ذلك، تفشل نقطة نهاية REST في فرض القيود التي قام المسؤول بتكوينها بشأن تكرار أنواع المنشورات، مما يتيح تكرار أنواع المنشورات التي تم تعطيلها صراحةً.

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى من تنفيذ هجمات «Stored Cross-Site Scripting» (XSS). يحدث ذلك عبر سمات الرموز المختصرة (shortcode)، مما يتيح حقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة. يمكن أن تحدث هذه المشكلة حتى قبل نشر المنشور، حيث يتم تنفيذ الحمولة عندما يقوم المسؤول بعرض منشور تم إرساله للمراجعة المعلقة.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في DOM بسبب عدم كفاية عملية تنقية قيمة السمة `href` ضمن دالة الاستدعاء البرمجية JavaScript الخاصة بـ FancyBox V2 PDF beforeLoad، والتي يتم إنشاؤها في الملف `inc/fancybox-2.php`. يتم ربط المتغير `this.href` مباشرةً بسلسلة HTML دون استخدام أحرف الهروب، مما يسمح لـ `href` المخزنة التي تحتوي على علامات اقتباس مزدوجة مشفرة بالكيانات بالخروج من سمة البيانات وحقن معالجات أحداث عشوائية في نموذج كائن المستند (DOM). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى استخدام هذا الثغرة لحقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عندما ينقر المستخدم على رابط PDF ضار.

تؤدي عدم كفاية عملية تنقية المدخلات في الدالة `blocksy sanitize post meta options()` إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بتخزين سلاسل كائنات PHP المتسلسلة في بيانات تعريف المنشور. تقوم الدالة بحظر القيم التي تحتوي على ’<‘ أو ’>‘ فقط، مما يفشل في منع حقن الكائنات المتسلسلة. عند إجراء ترحيل قاعدة البيانات V200، تقوم الدالة `SearchReplacer::run recursively()` بإلغاء تسلسل جميع قيم السلاسل دون قيد أو شرط باستخدام `@unserialize()` دون تقييد الفئات المسموح بها. يمكن أن تؤدي هذه العملية إلى تشغيل الدالة `RaiiPattern:: destruct()` الخاصة بكائن `BlocksyRaiiPattern` الذي تم حقنه، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد من خلال تنفيذ دوال PHP قابلة للاستدعاء تعسفيًا عبر `call user func()`. يمكن الوصول إلى هذه المشكلة عبر حقل واجهة برمجة التطبيقات REST ’blocksy meta‘.

المكوّن الإضافي معرض لخطر إرسال رسائل بريد إلكتروني غير مصرح بها، وذلك لأن الدالة `send test email()` تفتقر إلى فحص مناسب للصلاحيات. وهذا يسمح للمستخدمين المصادق عليهم الذين يتمتعون بأذونات على مستوى «المشترك» أو أعلى بإرسال رسائل بريد إلكتروني تجريبية إلى أي عنوان عشوائي من الخادم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Optimole – المكون الإضافي «Optimize Images» لـ WordPress حتى الإصدار 4.2.2 الوصف المكوّن الإضافي Optimole – Optimize Images لـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Stored Cross-Site Scripting). ويرجع السبب في ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمعلمة `s` (واصف srcset) داخل نقطة نهاية REST غير المصادق عليها /wp-json/optimole/v1/optimizations. تستخدم نقطة النهاية توقيع HMAC والتحقق من صحة الطابع الزمني، لكن هذه القيم مكشوفة في كود HTML الخاص بالواجهة الأمامية. يستخدم المكون الإضافي دالة sanitize text field() التي تزيل علامات HTML لكنها لا تقوم بتفادي علامات الاقتباس المزدوجة، ويتم تخزين الوصف المُلوث في المتغيرات المؤقتة وحقنه في سمة srcset دون تفادي مناسب. التوصيات التحديث إلى إصدار أحدث من 4.2.2

اسم البرنامج المعرض للخطر والإصدارات المتأثرة قاعدة بيانات Contact Form 7 وWPforms ومكوّن إضافي Elementor Forms الخاص بـ WordPress حتى الإصدار 1.4.9 الوصف تتعرض قاعدة بيانات Contact Form 7 و WPforms ومكوّن Elementor forms الإضافي لـ WordPress لخطر الوصول غير المصرح به إلى البيانات. ويرجع ذلك إلى وجود ثغرة في فحص الصلاحيات داخل الدالة `entries shortcode()`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى استخراج جميع البيانات المرسلة عبر النماذج، بما في ذلك المعلومات الحساسة مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف. التوصيات يجب تحديث الإصدارات الأقدم من 1.5.0.

يُعتبر المكون الإضافي Download Manager لـ WordPress عرضة للوصول غير المصرح به إلى البيانات. يؤدي عدم وجود فحص للصلاحيات في الدالة `reviewUserStatus()` إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى باسترداد معلومات حساسة عن المستخدمين. وتشمل هذه المعلومات عناوين البريد الإلكتروني والأسماء المعروضة وتواريخ التسجيل.

المكوّن الإضافي Royal Addons for Elementor الخاص بـ WordPress معرض لخطر «الكشف عن المعلومات» بسبب عدم كفاية القيود المفروضة على تضمين المنشورات داخل الدالة `get main query args()`. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج محتويات من أنواع المنشورات المخصصة غير العامة، بما في ذلك عمليات الإرسال عبر Contact Form 7 وقسائم WooCommerce.

المكوّن الإضافي GetGenie لـ WordPress معرض لمشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات» (Insecure Direct Object Reference) بسبب عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم داخل دالة `action`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» (Author) أو أعلى بتعديل البيانات الوصفية لأي منشور. ويمكن أن يؤدي عدم وجود عملية تنقية المدخلات، إلى جانب هذه المشكلة، إلى حدوث هجوم «Stored Cross-Site Scripting» (SXS) عندما يقوم مستخدم يتمتع بامتيازات أعلى، مثل «المسؤول»، بعرض علامة التبويب «Competitor» في الشريط الجانبي لـ GetGenie في منشور متأثر. والمعلمة المعرضة للخطر هي مفتاح يتحكم فيه المستخدم ويُستخدم في دالة `action`.

المكوّن الإضافي WP ULike الخاص بـ WordPress معرض لخطر ”البرمجة النصية عبر المواقع المخزنة“ (Stored Cross-Site Scripting) من خلال سمة `template` في الرمز المختصر `[wp ulike likers box]`. يحدث هذا بسبب استخدام دالة `html entity decode()` على سمات الرموز المختصرة دون تنقية الإخراج بشكل صحيح، مما يؤدي إلى تجاوز تصفية المحتوى التي توفرها دالة `wp kses post()` في WordPress. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة، ولكن فقط إذا كان المنشور يحتوي على «إعجاب» واحد على الأقل. المعلمة المعرضة للخطر هي `template`.

المكوّن الإضافي Greenshift لـ WordPress معرض لخطر الكشف عن معلومات حساسة. ويعود السبب في ذلك إلى أن النسخة الاحتياطية التلقائية للإعدادات يتم تخزينها في ملف يمكن الوصول إليه علنًا، مما يسمح للمهاجمين غير المصادق عليهم باستخراج البيانات. وتشمل البيانات المخترقة مفاتيح واجهة برمجة التطبيقات (API) لـ OpenAI وClaude وGoogle Maps وGemini وDeepSeek وCloudflare Turnstile.

المكون الإضافي WP-Members Membership Plugin الخاص بـ WordPress معرض لخطر حقن SQL عبر السمة `order by` الخاصة بالرمز المختصر [wpmem user membership posts]. ويعود السبب في ذلك إلى عدم معالجة المعلمات التي يقدمها المستخدم بشكل صحيح، بالإضافة إلى عدم إعداد استعلام SQL الحالي بشكل كافٍ. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى إرفاق استعلامات SQL إضافية بالاستعلامات الحالية، مما قد يتيح استخراج معلومات حساسة من قاعدة البيانات.

قالب Blocksy لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored XSS) عبر حقول البيانات الوصفية `blocksy meta`. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها. المعلمة المعرضة للخطر هي `blocksy meta`.

المكوّن الإضافي WP Mail Logging الخاص بـ WordPress معرض لثغرة «حقن كائنات PHP» في الإصدارات حتى 1.15.0 ضمناً. ويحدث ذلك بسبب إزالة التسلسل من المدخلات غير الموثوقة في حقل رسالة سجل البريد الإلكتروني. يستخدم منشئ فئة `BaseModel` دالة `maybe unserialize()` على خصائص قاعدة البيانات دون التحقق من صحتها بشكل كافٍ، مما يسمح للمهاجمين بحقن كائن PHP عبر حمولة تم تسلسلها مرتين. يمكن إرسال هذه الحمولة عبر أي نموذج متاح للجمهور يقوم بإرسال البريد الإلكتروني، مثل Contact Form 7. وعندما يقوم أحد المسؤولين بعرض البريد الإلكتروني المسجل، يتم فك تسلسل الحمولة الخبيثة. تأثير هذه المشكلة محدود، ما لم يكن هناك مكون إضافي أو سمة أخرى مثبتة تحتوي على سلسلة من حمولات كائنات PHP (POP)، مما قد يسمح بأعمال مثل حذف الملفات أو استرداد البيانات أو تنفيذ التعليمات البرمجية.

البرنامج معرض لثغرة أمنية من نوع الإشارة المباشرة إلى كائن غير آمن (IDOR). تحتوي نقطة نهاية واجهة برمجة التطبيقات (API) `/wp-json/wp-recipe-maker/v1/integrations/instacart` على فحص للأذونات تم تكوينه بحيث يعود دائمًا بقيمة ”صحيح“، كما تفتقر إلى فحوصات التفويض في المعلمة `recipeId` التي يقدمها المستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل بيانات تعريف المنشورات التعسفية (`wprm instacart combinations`) باستخدام المعلمة `recipeId`.

يعد المكون الإضافي WP Accessibility لـ WordPress عرضة لثغرة Cross-Site Scripting (XSS) DOM Based Persistent من خلال السمة ’alt‘ للصور التي تتم معالجتها بواسطة ميزة ”Long Description UI“. تحدث المشكلة لأن جافا سكريبت الخاص بالمكون الإضافي يحصل على السمة alt باستخدام `getAttribute()` ويقوم بضمها في استدعاءات `innerHTML` و`insertAdjacentHTML` دون إجراء التنقية أو الهروب المناسبين. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. يتطلب استغلال هذه الثغرة أن تكون إعدادات «واجهة المستخدم للوصف المطول» (Long Description UI) مفعّلة ومحددة على «رابط إلى الوصف» (Link to description).**التوصيات** قم بتحديث المكون الإضافي WP Accessibility إلى الإصدار 2.3.2 أو أعلى.

يحتوي البرنامج على ثغرة ناتجة عن عدم كفاية التحقق من صحة البيانات. يقوم المكون الإضافي بفك تشفير `email data` التي يتحكم فيها المهاجم والاعتماد عليها في معالج AJAX غير مصدق، دون ضمانات تشفيرية لصحة البيانات. وهذا يسمح للمهاجمين بالتلاعب بقيم توجيه وإعادة توجيه رسائل البريد الإلكتروني الخاصة بالنموذج، مما قد يؤدي إلى إعادة إرسال وإعادة توجيه رسائل البريد الإلكتروني دون إذن عبر المعلمة `email data`. المكون المتأثر هو معالج AJAX.