Sanjar Tulkinov

The Modern Events Calendar Lite WordPress plugin before 7.37.0, Modern Event Calendar Pro WordPress plugin before 7.37.0 does not sanitise and escape a parameter before using it in a SQL statement, allowing authenticated users with minimal privileges (Subscriber and above) to perform SQL injection attacks.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Simple File List» لـ WordPress الأقدم من الإصدار 6.3.12 **الوصف** يمكن للمستخدمين غير المصادق عليهم استغلال وجود ثغرة في عملية التحقق من صحة مسار المصدر عند نقل الملفات. وهذا يسمح للمهاجم بقراءة ملفات عشوائية على الخادم ونقل الملفات الهامة خارج جذر الويب، مما قد يؤدي إلى الكشف عن معلومات حساسة والاستيلاء الكامل على الموقع. **التوصيات** قم بتحديث المكون الإضافي ”Simple File List“ لـ WordPress إلى الإصدار 6.3.12 أو أحدث.

**Name of the Vulnerable Software and Affected Versions** Tutor LMS versions prior to 4.0.0 **Description** The plugin fails to properly verify if a user has access to the course associated with a Q&A thread before returning or writing to that thread. This is caused by a missing capability check in a function, allowing authenticated users with subscriber-level access and above who can access any single course to read Q&A threads of other courses and inject replies into them. **Recommendations** Update to version 4.0.0 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي «Appointment Booking Calendar» والمكون الإضافي «Scheduling» الأقدم من الإصدار 1.1.29 **الوصف** يفشل المكون الإضافي في التحقق من صحة البيانات قبل تمريرها إلى دالة إزالة التسلسل في PHP. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن كائنات PHP عشوائية. إذا كانت سلسلة أدوات مناسبة (تسلسل من أجزاء الكود الموجودة التي يمكن تنفيذها أثناء إزالة التسلسل) موجودة على الموقع، فيمكن استغلالها لتنفيذ كود عن بُعد. **التوصيات** تحديث المكون الإضافي إلى الإصدار 1.1.29 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Koha Community Koha من 22.11.0 إلى 22.11.37 إصدارات Koha Community Koha من 23.x إصدارات Koha Community Koha من 24.0 إلى 24.11.15 إصدارات Koha Community Koha من 25.05.0 إلى 25.05.10 إصدارات Koha Community Koha من 25.11.0 إلى 25.11.04 إصدارات Koha Community Koha من 26.05.0 إلى 26.05.00 إصدارات Koha Community Koha من 26.11.0 إلى 26.10.99 **الوصف** يمكن لمستخدم موظف معتمد لديه علامة وحدة «التقارير» قراءة بيانات عشوائية من قاعدة بيانات التطبيق. يحدث هذا عندما تتطابق المعلمة `Criteria` مع /branchcode/ في نقطة النهاية ’reports/catalogue out.pl‘. تنشأ المشكلة من الدالة `calculate()`، التي تربط معلمة الطلب `Filter` غير المعدلة مباشرةً بجملة LIKE في عبارة SQL وتنفذها عبر DBI دون استخدام معلمات مقيدة. وهذا يسمح بإدخال SQL القائم على الأخطاء، مما يتيح الوصول الكامل للقراءة إلى الجداول الحساسة مثل borrowers (التي تحتوي على تجزئات كلمات المرور، وأسرار المصادقة الثنائية، والمعلومات الشخصية المحددة للهوية)، وborrower password recovery، وapi keys، وsessions. **التوصيات** تحديث إصدار Koha Community Koha 22.11.37 إلى 22.11.38. قم بتحديث إصدارات Koha Community Koha 23.x إلى إصدار تم تطبيق الإصلاح عليه. قم بتحديث إصدارات Koha Community Koha 24.x إلى الإصدار 24.11.16. قم بتحديث إصدارات Koha Community Koha 25.05.x إلى الإصدار 25.05.11. قم بتحديث إصدارات Koha Community Koha 25.11.x إلى الإصدار 25.11.05. تحديث إصدارات Koha Community Koha 26.05.x إلى الإصدار 26.05.01. تحديث Koha