Tarcísio Luchesi De Almeida Silva

يحتوي المكون الإضافي على ثغرة ”الإشارة المباشرة غير الآمنة إلى الكائنات“ (IDOR)، والتي تحدث عندما يتيح التطبيق وصولاً مباشراً إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. توجد هذه الثغرة في إجراء AJAX ”get sponsored meta“ بسبب عدم التحقق من صحة مفتاح يتحكم فيه المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى استغلال هذه الثغرة للكشف عن البيانات الوصفية الخاصة بالمنشورات.

المكوّن الإضافي URL Shortify لـ WordPress معرض لثغرة أمنية من نوع «إعادة التوجيه المفتوح» (Open Redirect) في جميع الإصدارات حتى الإصدار 1.12.1 بما في ذلك. ويرجع ذلك إلى عدم التحقق بشكل كافٍ من المعلمة `redirect to` داخل معالج التخلص من العروض الترويجية. يمكن لمهاجم غير معتمد استغلال هذه الثغرة لإعادة توجيه المستخدمين إلى مواقع قد تكون ضارة باستخدام رابط مصمم خصيصًا لهذا الغرض. المعلمة المعرضة للخطر هي `redirect to`.

المكون الإضافي Taskbuilder لـ WordPress معرض لخطر حقن SQL أعمى يعتمد على الوقت. ويرجع ذلك إلى عدم تطهير مدخلات المعلمات التي يقدمها المستخدم بشكل كافٍ وعدم إعداد الاستعلامات بشكل كافٍ. وعلى وجه التحديد، فإن المعلمتين `order` و`sort by` معرضتان للخطر. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى حقن استعلامات SQL إضافية في الاستعلامات الحالية الموجهة إلى قاعدة البيانات، مما قد يؤدي إلى استخراج معلومات حساسة.

يعاني المكون الإضافي Taskbuilder لـ WordPress من مشكلة تتعلق بتجاوز التفويض. تؤدي عمليات التحقق غير الكافية من التفويض في وظائف إرسال التعليقات على المشاريع والمهام إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بإنشاء تعليقات على أي مشروع أو مهمة، حتى تلك التي ليسوا مخولين لعرضها. يمكن للمهاجمين إدخال كود HTML وCSS تعسفي عبر المعلمة `comment body` من خلال إجراءات AJAX `wppm submit proj comment` و`wppm submit task comment`.

المكوّن الإضافي «Booking Calendar» لـ WordPress معرض لثغرة أمنية تتمثل في «الإشارة المباشرة غير الآمنة إلى الكائنات». ينشأ هذا الخلل عن التحقق غير الكافي من صحة مفتاح يتحكم فيه المستخدم داخل الدالة `handle ajax save`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى، والذين حصلوا على أذونات الحجز من قبل «المسؤول»، تعديل إعدادات المكون الإضافي الخاصة بالمستخدمين الآخرين، مثل خيارات عرض تقويم الحجوزات. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تعطيل وظائف تقويم الحجوزات للمستخدمين المستهدفين.