Rafshanzani Suhada

يحدث الكشف عن المعلومات الحساسة عبر نقطة نهاية واجهة برمجة التطبيقات (REST API) ’/dokan/v1/stores/{id}/reviews‘. تتضمن طريقة `prepare reviews for response()` عناوين البريد الإلكتروني للمراجعين وأسماء المستخدمين ومعرفات المستخدمين في استجابة واجهة برمجة التطبيقات (API). وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج عناوين البريد الإلكتروني وأسماء المستخدمين ومعرفات المستخدمين لجميع العملاء الذين تركوا تقييمات في متجر أي بائع. تتطلب هذه المشكلة تثبيت الإصدار Pro من المكون الإضافي وتفعيله، مع تمكين تقييمات المتجر.

يؤدي عدم كفاية تنقية المدخلات إلى السماح بتنفيذ أكواد قصيرة تعسفية. تحدث هذه المشكلة لأن نص إجابة الاختبار الذي يقدمه المستخدم تتم معالجته بواسطة الدالتين `sanitize text field()` و`htmlspecialchars()`، اللتين تزيلان علامات HTML ولكنهما تفشلان في ترميز أو إزالة أقواس الأكواد القصيرة. عند عرض نتائج الاختبار، يستخدم المكون الإضافي الدالة `do shortcode()` على الناتج، مما يؤدي إلى تنفيذ أي رموز قصيرة تم إدخالها. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة لإدخال رموز قصيرة مثل ’[qsm result id=X]‘ للوصول إلى إجابات الاختبار الخاصة بالمستخدمين الآخرين دون إذن، حيث إن الرمز القصير `qsm result` لا يقوم بإجراء فحوصات المصادقة.

المكوّن الإضافي Smartsupp – الدردشة الحية، ومساعد التسوق المدعوم بالذكاء الاصطناعي، وروبوتات الدردشة لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للمعلمة `code`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مشترك» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يزور مستخدم ما الصفحة المتأثرة.

المكوّن الإضافي Web Accessibility by accessiBe لـ WordPress معرض لخطر الكشف عن معلومات حساسة. ويعود السبب في ذلك إلى أن الدالة `accessibe render js in footer()` تسجل المصفوفة الكاملة لخيارات المكون الإضافي في وحدة تحكم المتصفح في الصفحات العامة دون فرض القيود المناسبة. وهذا يسمح للمهاجمين غير المصادق عليهم بالاطلاع على بيانات التكوين الحساسة، بما في ذلك عناوين البريد الإلكتروني ومعرفات مستخدمي accessiBe ومعرفات الحسابات ومعلومات الترخيص، عبر وحدة تحكم المتصفح عندما يكون المكون الإضافي معطلاً.

المكوّن الإضافي Popup Builder لـ WordPress معرض لخطر التحايل على التفويض. ويرجع ذلك إلى أن المكوّن الإضافي يُنشئ رموز إلغاء الاشتراك التي يمكن توقعها باستخدام بيانات حتمية. يمكن لمهاجم غير معتمد إلغاء اشتراك أي مشترك في قوائم البريد الإلكتروني عن طريق الهجوم بالقوة الغاشمة على رمز إلغاء الاشتراك، شريطة أن يكون على علم بعنوان البريد الإلكتروني للضحية.

المكوّن الإضافي معرض لخطر الوصول غير المصرح به إلى البيانات بسبب عدم وجود تحقق من الصلاحية في نقطة نهاية واجهة برمجة التطبيقات (API) /gdpr/v1/settings. وهذا يسمح للمهاجمين غير المصادق عليهم باسترداد الإعدادات الحساسة للمكوّن الإضافي، بما في ذلك رموز API وعناوين البريد الإلكتروني ومعرّفات الحسابات ومفاتيح الموقع.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Mesmerize Companion حتى الإصدار 1.6.158 بما في ذلك الوصف المكوّن الإضافي Mesmerize Companion لـ WordPress معرض لخطر الوصول غير المصرح به وتعديل البيانات. ويرجع ذلك إلى عدم وجود تحقق من الأذونات في الدالتين `openPageInCustomizer` و`openPageInDefaultEditor`. يمكن للمهاجمين المسجلين الذين يتمتعون بوصول على مستوى المشترك أو أعلى، في المواقع التي تستخدم سمة Mesmerize، استغلال هذه الثغرة للقيام بأعمال مثل وضع علامة «قابل للتعديل» على الصفحات، وتغيير البيانات الوصفية لنموذج الصفحة، وتعديل علامة المحرر الافتراضي دون الحصول على الإذن المناسب. التوصيات قم بتحديث Mesmerize Companion إلى إصدار أحدث من 1.6.158.

يحتوي المكون الإضافي ACF Photo Gallery Field الخاص بـ WordPress على ثغرة أمنية تسمح بالتعديل غير المصرح به للبيانات. ويحدث ذلك بسبب عدم وجود فحص للصلاحيات في الدالة `acf photo gallery edit save`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى تعديل العنوان والتعليق والبيانات الوصفية المخصصة لمرفقات الوسائط.

لا يتحقق البرنامج بشكل كافٍ من تفويض المستخدم، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى باسترداد معلومات حساسة عن المستخدمين. وعلى وجه التحديد، يمكن للمهاجمين الوصول إلى معرّفات المستخدمين وأسمائهم المعروضة وعناوين بريدهم الإلكتروني لجميع المستخدمين على الموقع من خلال نقطة نهاية واجهة برمجة التطبيقات (API) `get bank accounts`. ولا يتم الكشف عن كلمات المرور.

المكوّن الإضافي Colibri Page Builder لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال الرمز المختصر «colibri loop». إن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم تسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة المتأثرة.

لا يقوم البرنامج بالتحقق بشكل صحيح من تفويض المستخدم، مما يسمح للمهاجمين غير المصادق عليهم بتنفيذ إجراءات دون الحصول على الصلاحيات المناسبة. وعلى وجه التحديد، يمكن للمهاجمين الموافقة على طلبات السحب، وتعديل أرصدة نقاط المستخدمين، والتلاعب بنظام معالجة المدفوعات. ويتم ذلك من خلال نقطة نهاية واجهة برمجة التطبيقات (API) `cashcred pay now`.

المكون الإضافي «Application Passwords» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المنعكس بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لعناوين URL التي يقدمها المستخدم. وعلى وجه التحديد، فإن المعلمة `reject url` معرضة للخطر. وهذا يسمح للمهاجمين بتضمين مخططات URI من نوع javascript: داخل المعلمة `reject url`. ويتطلب الاستغلال الناجح خداع المستخدم للنقر على رابط ضار، والذي يقوم بدوره بتنفيذ نصوص برمجية ويب تعسفية عندما ينقر المستخدم على الزر ”No, I do not approve of this connection“. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المعنية بشكل صريح. المعلمة المعرضة للخطر هي `reject url`.

المكوّن الإضافي «Backup, Restore and Migrate your sites with XCloner» الخاص بـ WordPress معرض لخطر التزوير بين المواقع (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو التحقق غير الصحيح منه في الدالة `Xcloner Remote Storage:save()`. وهذا يسمح للمهاجمين غير المصادق عليهم بإضافة أو تعديل إعدادات النسخ الاحتياطي عبر FTP من خلال طلب مزور، في حال تمكنوا من خداع مسؤول الموقع للقيام بإجراء ما، مثل النقر على رابط. ويسمح الاستغلال الناجح للمهاجم بتعيين موقع FTP يخضع لسيطرته لتخزين النسخ الاحتياطية، وربما سرقة البيانات الحساسة من الموقع.

المكوّن الإضافي WebP Express لـ WordPress معرض لخطر تسريب المعلومات بسبب عدم توزيع أسماء ملفات التكوين بشكل عشوائي بشكل صحيح عند استخدامه مع NGINX. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج بيانات التكوين. لا يقوم المكون الإضافي بتعشية اسم ملف التكوين بشكل صحيح، مما يسمح بالوصول المباشر إليه.

البرنامج معرض لخطر حقن SQL عبر المعلمة `query`. إن عدم التهريب الكافي للمدخلات التي يقدمها المستخدم والتحضير غير الملائم لاستعلام SQL يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن استعلامات SQL إضافية في الاستعلامات الموجودة. وقد يؤدي ذلك إلى استخراج معلومات حساسة من قاعدة البيانات. يرفع الإصدار 3.11.13 الحد الأدنى لمستوى المستخدم المطلوب للاستغلال إلى «مسؤول».

المكوّن الإضافي UiPress lite لـ WordPress معرض لتعديل البيانات دون إذن. ويحدث ذلك بسبب عدم وجود فحص للصلاحيات في الدالة `uip save site option()`، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي بشكل تعسفي. كما تتأثر إجراءات AJAX الأخرى أيضًا.

المكوّن الإضافي Directorist لـ WordPress معرض للوصول غير المصرح به. إن عدم التحقق من الصلاحيات في إجراءات AJAX `directorist prepare listings export file` و`directorist type slug change` يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتصدير تفاصيل القوائم وتعديل اسم اختصار الدليل. إجراءات AJAX المتأثرة هي: `directorist prepare listings export file` و`directorist type slug change`.

يعاني المكون الإضافي Quiz Maker لـ WordPress من مشكلة تتعلق بكشف المعلومات الحساسة. حيث يعرض المكون الإضافي إجابات الاختبار عبر نقطة نهاية واجهة برمجة التطبيقات (API) `ays quiz check answer` دون إجراء عمليات التحقق من التفويض المناسبة. تقوم نقطة النهاية بالتحقق من صحة رقم عشوائي (nonce)، لكن هذا الرقم متاح علنًا لجميع زوار الموقع من خلال بيانات البرنامج النصي الموجود في `quiz maker ajax public`. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج البيانات الحساسة، بما في ذلك إجابات الاختبار لأي سؤال من أسئلة الاختبار.

البرنامج معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال المعلمتين `vkExUnit cta url` و`vkExUnit cta button text`. ويعود السبب في ذلك إلى خطأ منطقي في وظيفة حفظ CTA، حيث تُقرأ إجراءات التعقيم من متغير غير صحيح، مما يمنع تطبيق عملية التعقيم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة التي تم حقنها.

البرنامج معرض لثغرة ”Stored Cross-Site Scripting“ عبر المعلمة ` veu custom css`. إن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في قيمة ”Custom CSS“ التي يقدمها المستخدم تسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”مساهم“ أو أعلى بحقن نصوص برمجية ويب تعسفية. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى صفحة تم حقنها.