Teerachai Somprasong

The plugin contains a flaw allowing unauthenticated attackers to perform unauthorized arbitrary file uploads. This occurs because the `wp save signature image()` function lacks a proper capability check, enabling the upload of arbitrary content to the WordPress uploads directory disguised as png files.

Authenticated attackers with contributor-level access and above can extract sensitive data from arbitrary CRM contact records. This is achieved by enumerating the `contact id` parameter, which leads to the exposure of full names, email addresses, phone numbers, mobile numbers, fax numbers, and physical addresses.

يسمح المكون الإضافي ShopLentor لـ WordPress بتنفيذ وظائف عشوائية من خلال نقطة نهاية واجهة برمجة التطبيقات REST ’woolentoropt/v1/custom-action‘. تحدث هذه المشكلة لأن طريقة `handle action()` تمرر المدخلات التي يقدمها المستخدم إلى دالة `call user func()` دون التحقق من صحتها مقابل قائمة السماح الخاصة بعمليات الاستدعاء المسموح بها. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المسؤول أو أعلى تنفيذ دوال PHP قابلة للاستدعاء بشكل تعسفي من خلال التلاعب بمعلمة `callback`.

يحتوي المكون الإضافي على ثغرة في المصادقة في نقطة نهاية webhook لواجهة برمجة التطبيقات REST ”/wp-json/strabl/webhook/order“. تستخدم نقطة النهاية متغير `permission callback` مضبوطًا على ` return true`، مما يسمح لجميع الطلبات بتجاوز عمليات فحص المصادقة والتفويض. ونظرًا لعدم وجود سر مشترك أو التحقق من التوقيع أو التحقق HMAC أو المصادقة القائمة على الرموز المميزة، يمكن للمستخدمين غير المصادق عليهم تنفيذ العديد من الإجراءات غير المصرح بها. وتشمل هذه الإجراءات إنشاء طلبات WooCommerce احتيالية ووضع علامة ”مكتملة“ عليها عن طريق تعيين المتغير `paymentStatus` إلى `paid`، والتلاعب بحالات الطلبات عبر المتغير `externalOrderId`، وإنشاء حسابات مستخدمين جديدة في WordPress بدور ”العميل“، وإصدار عمليات استرداد الأموال، وإلغاء الطلبات، وتطبيق رسوم استرداد المدفوعات.

يفشل المكون الإضافي في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة، مما يؤدي إلى تجاوز عملية المصادقة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بالوصول إلى بيانات منشورات `alba card` الخاصة بشكل تعسفي، مثل العناوين والأوصاف والمكلفين وتواريخ الاستحقاق والعلامات والتعليقات، والتي ينبغي أن تقتصر على المسؤولين والمحررين. ونظرًا لأن المعالج مسجل عبر ربط `wp ajax nopriv ` وأن رمزه العشوائي (nonce) مكشوف لجميع زوار الموقع من خلال `wp localize script` في الصفحات التي تحتوي على الرمز المختصر `[alba board]`، فإن هذه المشكلة قابلة للاستغلال أيضًا من قبل المستخدمين غير المصادق عليهم الذين يمكنهم الوصول إلى تلك الصفحات.

يتعرض المكون الإضافي لخطر الكشف عن المعلومات الحساسة عبر إجراء AJAX المسمى «ttp get accounts». تفتقر الدالة `get accounts()` إلى عمليات التحقق من التفويض والتحقق من الرمز العشوائي (nonce)، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك (Subscriber) أو أعلى باسترداد المحتوى الكامل لخيار WordPress `ttp tiktok accounts`. ويشمل ذلك بيانات اعتماد OAuth الحساسة الخاصة بـ TikTok، وتحديدًا قيم `access token` و`refresh token` من الحسابات المرتبطة بالمسؤول، والتي يمكن استخدامها لانتحال صفة مالك الموقع عند التفاعل مع واجهة برمجة تطبيقات TikTok (API).

يؤدي عدم كفاية التحقق من ملكية الملفات في إجراء AJAX «maxi remove custom image size» إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» أو أعلى بحذف ملفات وسائط عشوائية داخل دليل `wp-content/uploads`. ويشمل ذلك الملفات التي تم تحميلها بواسطة مستخدمين ومسؤولين آخرين.

يحتوي المكون الإضافي «التحقق من العمر والتحقق من الهوية بواسطة Token of Trust» الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting). يحدث هذا بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات داخل المعلمة `description`. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة لحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يصل المستخدم إلى الصفحة المتأثرة.

المكوّن الإضافي WowStore – Store Builder & Product Blocks for WooCommerce الخاص بـ WordPress معرض لخطر حقن SQL عبر المعلمة `search`. يؤدي عدم كفاية تصفية المدخلات التي يقدمها المستخدم وعدم إعداد استعلامات SQL الحالية بشكل ملائم إلى السماح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL إضافية، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات.

المكوّن الإضافي ShopLentor معرض لخطر إساءة استخدام ترحيل البريد الإلكتروني (Email Relay Abuse) بسبب عدم كفاية التحقق من صحة معلمات الإدخال. وعلى وجه التحديد، لا يتم التحقق بشكل صحيح من صحة المعلمات `send to` و`product title` و`wlmessage` و`wlemail` في نقطة نهاية واجهة برمجة التطبيقات (API) `woolentor suggest price action`. وهذا يسمح للمهاجمين غير المصادق عليهم باستخدام الموقع كمرحل للبريد الإلكتروني لأغراض خبيثة، مثل حملات البريد العشوائي أو التصيد الاحتيالي. ويحصل المهاجمون على سيطرة كاملة على سطر موضوع البريد الإلكتروني ومحتوى الرسالة وعنوان المرسل من خلال حقن CRLF في المعلمة `wlemail`.

يحتوي المكون الإضافي Invoct – PDF Invoices & Billing for WooCommerce الخاص بـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى البيانات. ويرجع ذلك إلى عدم التحقق من الصلاحيات في العديد من الوظائف. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى استرداد بيانات العملاء الواردة في الفواتير، وبنود الفواتير، وقائمة مستخدمي WordPress مع عناوين بريدهم الإلكتروني.

البرنامج معرض لمشكلة تتعلق بكشف المعلومات الحساسة. يمكن للمهاجمين غير المصادق عليهم استخراج مفتاح الترخيص `magicimport.ai` من الموقع من خلال شفرة المصدر للصفحة في أي صفحة تحتوي على الرمز المختصر للمكوّن الإضافي باستخدام الدالة `get frontend settings()`.

البرنامج عرضة للتعديل غير المصرح به للبيانات بسبب عدم وجود تحقق من التفويض داخل الدالة `ajax sync usage()`. وهذا يسمح للمهاجمين غير المصادق عليهم بتغيير حالة الترخيص ورصيد الائتمان الخاص بالمكوّن الإضافي.

يحتوي المكون الإضافي على ثغرة في عملية تجاوز التفويض بسبب عدم وجود عمليات التحقق من الصلاحيات في وظيفة تصدير ملفات CSV. وهذا يسمح للمهاجمين غير المصادق عليهم بتنزيل البيانات الحساسة الخاصة بتقديم النماذج، بما في ذلك المعلومات الشخصية المحددة للهوية (PII)، عند الوصول إلى نقطة نهاية تصدير ملفات CSV. مفتاح التصدير اللازم لهذا الوصول مكشوف في شفرة المصدر للصفحة المتاحة للجمهور. يتجاوز معالج تصدير ملفات CSV مرشح أذونات المستخدم، حيث يقوم بتصدير جميع الإدخالات بغض النظر عن أدوار المستخدمين.

المكوّن الإضافي Integrate Dynamics 365 CRM لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال إعدادات المسؤول. إن عدم كفاية تنقية المدخلات وتسرب المخرجات في السمات التي يقدمها المستخدم يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المسؤول» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها.

المكون الإضافي RepairBuddy لـ WordPress معرض لثغرة «الإشارة المباشرة غير الآمنة إلى كائن». ويرجع ذلك إلى عدم وجود عمليات تحقق مناسبة من السعة داخل الدالة `wc upload and save signature handler`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى تحميل توقيعات عشوائية لأي طلب، مما قد يؤدي إلى تغيير البيانات الوصفية للطلب وإحداث تعديلات غير مصرح بها في الحالة.

المكوّن الإضافي WP-CRM System لـ WordPress معرض للوصول غير المصرح به بسبب عدم وجود عمليات التحقق من الأذونات في وظائف AJAX `wpcrm get email recipients` و`wpcrm system ajax task change status`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بتعداد عناوين البريد الإلكتروني لجهات الاتصال في نظام CRM، مما يؤدي إلى احتمال الكشف عن المعلومات الشخصية (PII)، وتعديل حالات مهام نظام CRM.

يعد المكون الإضافي iPaymu Payment Gateway for WooCommerce لـ WordPress عرضة لثغرة تتعلق بغياب المصادقة. ويرجع ذلك إلى أن المكون الإضافي لا يتحقق من صحة طلبات webhook من خلال التحقق من التوقيع أو التحقق من المصدر. يمكن لمهاجم غير مصدق إرسال طلبات POST مزورة إلى نقطة نهاية webhook لوضع علامة ”مدفوع“ زائفة على طلبات WooCommerce، دون أن يكون هناك دفع فعلي. بالإضافة إلى ذلك، يمكن للمهاجمين تعداد معرّفات الطلبات والحصول على مفاتيح طلبات صالحة عبر طلبات GET، مما قد يؤدي إلى الكشف عن المعلومات الشخصية القابلة للتعريف (PII) للعملاء، مثل الأسماء والعناوين والمنتجات المشتراة. الوظيفة المعرضة للخطر هي `check ipaymu response`.