Ronnachai Chaipha

The WholesaleX – B2B & Wholesale Plugin for WooCommerce with Wholesale Prices plugin for WordPress is vulnerable to Limited Privilege Escalation in all versions up to, and including, 3.0.8 via the 'process registration' due to missing validation on the 'wholesalex registration role' parameter. This makes it possible for unauthenticated attackers to register as any existing WholesaleX role. The vulnerability was partially patched in version 2.3.8.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Planyo Online Reservation System» لإصدارات WordPress السابقة للإصدار 3.1 **الوصف** يوجد ثغرة في «تزوير الطلبات من جانب الخادم (SSRF)» دون مصادقة تؤدي إلى «تضمين الملفات المحلية (LFI)». يعمل ملف `ulap.php` كوكيل AJAX ويمكن الوصول إليه دون مصادقة. تقوم الدالة `send http post()` بمقارنة مضيف عنوان URL المقدم بقائمة المسموح بها التي تحتوي على «localhost»، لكنها لا تتحقق من صحة مخطط عنوان URL. وهذا يسمح للمهاجم باستخدام بروتوكول `file://` لتجاوز فحص المضيف، حيث تحدد الدالة `parse url()` المضيف على أنه «localhost». ثم تتم معالجة عنوان URL بواسطة `curl init()` أو `fopen()`، مما يتيح قراءة ملفات محلية عشوائية مثل `/etc/passwd` و`wp-config.php` عبر استجابة HTTP. **التوصيات** قم بتحديث المكون الإضافي Planyo Online Reservation System الخاص بـ WordPress إلى إصدار أحدث من 3.0. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى ملف `ulap.php`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Shortcodely الأقدم من 1.0.2 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `widget area`. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة متأثرة. **التوصيات** قم بتحديث Shortcodely إلى الإصدار 1.0.2 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة `widget area` للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Logtivity الأقدم من 3.3.7 **الوصف** يسمح خلل منطقي في الدالة `verifyAuthorization()` للمهاجمين غير المصادق عليهم بتجاوز عمليات التحقق من المصادقة. فالطلبات التي تغفل رأس «Authorization» تتخطى عملية التحقق من صحة رمز «Bearer» وتؤدي إلى تنفيذ عبارة «return true» غير المشروطة. وهذا يتيح الوصول غير المصرح به إلى نقطة نهاية واجهة برمجة التطبيقات REST ’/wp-json/logtivity/v1/options‘، مما يسمح باسترداد خيارات تكوين المكون الإضافي، بما في ذلك المتغير `logtivity site api key`، الذي يمكن استخدامه لانتحال صفة الموقع في استدعاءات واجهة برمجة التطبيقات (API) لخدمة Logtivity. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.3.6. قم بتقييد الوصول إلى نقطة النهاية ’/wp-json/logtivity/v1/options‘ لتقليل مخاطر الكشف عن المعلومات.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Accessibly الأقدم من 3.0.4 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة عبر واجهة برمجة التطبيقات REST. يقوم المكون الإضافي بتسجيل نقاط النهاية ’/otm-ac/v1/update-widget-options‘ و ’/otm-ac/v1/update-app-config‘ دون إجراء أي فحوصات للمصادقة أو التفويض. تقبل الدالة `updateWidgetOptions()` الموجودة في ملف `AdminApi.php` بيانات JSON التي يقدمها المستخدم وتمررها إلى `AccessiblyOptions::updateAppConfig()`، التي تقوم بحفظ البيانات في جدول خيارات WordPress عبر الدالة `update option()` دون تعقيم أو التحقق من صحتها. يمكن لمهاجم غير مصدق تغيير المتغير `widgetSrc` ليشير إلى برنامج نصي خارجي ضار. يتم استرداد هذه القيمة لاحقًا بواسطة `AssetsManager::enqueueFrontendScripts()` وتمريرها إلى `wp enqueue script()`، مما يؤدي إلى تنفيذ جافا سكريبت تعسفي لجميع زوار الموقع على كل صفحة من الواجهة الأمامية. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.0.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي CMS Commander لإصدارات WordPress السابقة للإصدار 2.289 **الوصف** المكوّن الإضافي CMS Commander لـ WordPress معرض لخطر حقن SQL بسبب عدم كفاية التحقق من صحة المدخلات وإعداد الاستعلامات. وعلى وجه التحديد، لا يتم تنقية المعلمات `or blogname` و`or blogdescription` و`or admin email` بشكل كافٍ، مما يسمح للمهاجمين المصادق عليهم الذين يمتلكون مفتاح واجهة برمجة تطبيقات (API) لـ CMS Commander بإدخال استعلامات SQL ضارة في استعلامات قاعدة البيانات الحالية أثناء عملية الاستعادة. وقد يؤدي ذلك إلى استخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي CMS Commander إلى الإصدار 2.289 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «REST API TO MiniProgram» لـ WordPress حتى الإصدار 5.1.2 **الوصف** يُعتبر المكون الإضافي REST API TO MiniProgram لـ WordPress عرضة لمشكلة ”الإشارة المباشرة غير الآمنة إلى الكائن“ (Insecure Direct Object Reference). تنشأ المشكلة من عدم كفاية التحقق من الصحة داخل استدعاء الرد الخاص بالأذونات (`update user wechatshop info permissions check`)، الذي يكتفي بتأكيد وجود مستخدم WordPress مطابق للمعلمة `openid` المُقدمة. ومع ذلك، تستخدم الدالة `update user wechatshop info` معلمة `userid` منفصلة، يتحكم فيها المهاجم، لتعديل البيانات الوصفية للمستخدم دون التحقق مما إذا كانت المعلمتان `openid` و`userid` تتعلقان بنفس المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتعديل البيانات الوصفية المتعلقة بالمتجر (storeinfo، storeappid، storename) لمستخدمين عشوائيين من خلال المعلمة `userid` في واجهة برمجة التطبيقات REST. لم يتم ذكر **نقطة نهاية واجهة برمجة التطبيقات** المعرضة للخطر بشكل صريح. المعلمات المعرضة للخطر هي `openid` و`userid`. **التوصيات** يجب تحديث الإصدارات السابقة للإصدار 5.1.2 وحتى هذا الإصدار.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Appmax لـ WordPress حتى الإصدار 1.0.3 ضمناً **الوصف** يحتوي البرنامج على ثغرة ناتجة عن عدم وجود التحقق المناسب من صحة المدخلات في نقطة نهاية ويبهوك (webhook) عامة لواجهة برمجة التطبيقات REST. لا تطبق نقطة النهاية، الموجودة في `/webhook-system`، آليات التحقق من توقيع الويب هوك أو التحقق من السر أو المصادقة لتأكيد مصدر طلبات الويب هوك الواردة. يعالج المكون الإضافي البيانات غير الموثوق بها من معلمات `event` و`data` دون التحقق من صحتها. وهذا يسمح للمهاجمين بالتلاعب بطلبات WooCommerce، بما في ذلك تعديل حالتها (قيد المعالجة، أو تم رد المبلغ، أو تم الإلغاء، أو قيد الانتظار) وإنشاء طلبات جديدة ببيانات عشوائية. يمكن للمهاجمين أيضًا إنشاء منتجات WooCommerce جديدة بتفاصيل يتحكم فيها المهاجمون مثل الأسماء والأوصاف والأسعار، وكتابة قيم عشوائية في بيانات تعريف منشورات الطلبات عن طريق انتحال أحداث webhook مشروعة. **التوصيات** يجب عدم استخدام الإصدارات الأقدم من 1.0.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Build App Online» لـ WordPress للإصدارات الأقدم من 1.0.24 **الوصف** المكوّن الإضافي «Build App Online» لـ WordPress معرض لخطر الوصول غير المصرح به. يقوم المكوّن الإضافي بتسجيل نقطة نهاية واجهة برمجة التطبيقات (API) `build-app-online-update-vendor-product` عبر `wp ajax nopriv ` دون اتخاذ تدابير أمنية كافية. وعلى وجه التحديد، لا توجد عمليات تحقق من المصادقة أو التحقق من الصلاحيات أو التحقق من صحة الرمز العشوائي (nonce) داخل الدالة `update vendor product()`. تقبل هذه الدالة معرّف المنشور (post ID) الذي يقدمه المستخدم وتستخدم `wp update post()` لتعديل حقل `post author` دون التحقق من أذونات المستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل قيمة `post author` لأي منشور إلى 0، مما يؤدي فعليًا إلى إزالة المؤلف الأصلي. كما يمكن للمهاجمين المصادق عليهم المطالبة بملكية المنشورات عن طريق تغيير `post author` إلى معرّف المستخدم الخاص بهم. المعلمة المعرضة للخطر هي `معرّف المنشور`. **التوصيات** قم بتحديث المكون الإضافي Build App Online إلى الإصدار 1.0.24 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** RepairBuddy – المكون الإضافي لإدارة علاقات العملاء والحجوزات لـ WordPress حتى الإصدار 4.1132 **الوصف** المكوّن الإضافي RepairBuddy لـ WordPress معرض للوصول غير المصرح به. يحتوي المكوّن الإضافي على معالجات AJAX التي، عند استخدامها معًا، تسمح لأي مستخدم تمت مصادقته بتغيير إعدادات المكوّن الإضافي على مستوى المسؤول. تسمح الدالة `wc rb get fresh nonce()`، التي يمكن الوصول إليها عبر خطافات `wp ajax` و`wp ajax nopriv`، للمستخدمين بإنشاء رقم عشوائي صالح لـ WordPress لأي اسم إجراء دون إجراء فحوصات للصلاحيات. تقوم الدالة `wc rep shop settings submission()` بالتحقق من الرقم العشوائي (`wcrb main setting nonce`) ولكنها لا تتأكد من صلاحيات المستخدم قبل تحديث أكثر من خمسة عشر خيارًا للمكوّن الإضافي باستخدام `update option()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بتعديل جميع إعدادات تكوين المكون الإضافي، بما في ذلك اسم الشركة، والبريد الإلكتروني، والشعار، وتسمية القائمة، وإعدادات اللائحة العامة لحماية البيانات (GDPR)، عن طريق إنشاء رقم عشوائي صالح ثم استدعاء معالج إرسال الإعدادات. **التوصيات** يجب تحديث الإصدارات السابقة للإصدار 4.1132 وحتى هذا الإصدار. كحل مؤقت، يُنصح بتقييد الوصول إلى نقطة النهاية `wc rb get fresh nonce`. تجنب استخدام المعلمة `wcrb main setting nonce` في الدالة `wc rep shop settings submission` حتى يتم حل المشكلة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MailArchiver الأقدم من 4.4.0 **الوصف** المكوّن الإضافي MailArchiver لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال إعدادات المسؤول. تسمح عملية التنقية غير الكافية للمدخلات والهروب غير الكافي للمخرجات للمهاجمين المصادق عليهم الذين يتمتعون بأذونات على مستوى المسؤول أو أعلى بإدخال نصوص برمجية ويب تعسفية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم إدخال النص البرمجي فيها. تؤثر هذه المشكلة بشكل خاص على التثبيتات متعددة المواقع وتلك التي تم فيها تعطيل خيار unfiltered html. **التوصيات** قم بتحديث MailArchiver إلى الإصدار 4.4.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Stock Ticker لـ WordPress، الإصدارات الأقدم من 3.26.1 **الوصف** المكوّن الإضافي Stock Ticker لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع» المخزّن (XSS) من خلال الإعدادات الإدارية. يؤدي عدم كفاية تنقية المدخلات وعدم ملاءمة تصفية المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بأذونات إدارية أو أعلى من ذلك بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها. تؤثر هذه المشكلة فقط على التثبيتات متعددة المواقع وتلك التي تم فيها تعطيل خيار unfiltered html. **التوصيات** قم بتحديث المكون الإضافي Stock Ticker إلى إصدار أحدث من 3.26.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي MailArchiver لـ WordPress في الإصدارات الأقدم من 4.5.1 **الوصف** المكوّن الإضافي MailArchiver لـ WordPress معرض لخطر حقن SQL بسبب عدم كفاية التحقق من صحة المدخلات وتجهيز الاستعلامات. وعلى وجه التحديد، لا يتم تنقية المعلمة `logid` بشكل مناسب، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المسؤول» أو أعلى بحقن استعلامات SQL إضافية في استعلامات قاعدة البيانات الحالية. وقد يؤدي ذلك إلى استخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي MailArchiver إلى الإصدار 4.5.1 أو أعلى.