Tharadol Suksamran

Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with Contributor-level access or higher can inject arbitrary web scripts into pages via the `rootAttributes` parameter. These scripts execute automatically whenever a user visits the affected page.

يوجد ثغرة أمنية من نوع ”الإشارة المباشرة غير الآمنة إلى الكائن“ (IDOR) بسبب عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم. يمكن للمهاجمين غير المصادق عليهم تعداد معرّفات الأحداث عبر المعلمة `vcal` للوصول إلى التصدير الكامل لـ iCalendar لأحداث التقويم الشخصية والمسودات والمحذوفة وغير العامة. يؤدي هذا إلى الكشف عن البيانات الوصفية الحساسة، بما في ذلك العناوين والأوصاف والتواريخ والمواقع والروابط الدائمة والتفاصيل المتعلقة بالمنظم والمضيف.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المنعكسة» (Reflected Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يتم خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط. تتعلق المشكلة بالمعلمة `failed orders`.

يحتوي المكون الإضافي Youzify الخاص بـ WordPress على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `checkin place id`. يتم تنفيذ هذه النصوص البرمجية كلما زار مستخدم الصفحة المتأثرة.

يتعرض المكوّن الإضافي لثغرة «Stored Cross-Site Scripting» عبر الرمز المختصر «z taxonomy image». تحدث هذه المشكلة لأن مسار عرض الرمز المختصر يمرر مدخلات فئة يسيطر عليها المهاجم إلى أداة إنشاء الصور الاحتياطية التي تقوم بربط سمات HTML دون إجراء التهرب المناسب. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يتفاعل المستخدمون مع الصفحة الأمامية التي تم حقنها من خلال سمة الرمز المختصر `class`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات أداة إنشاء الصفحات «Beaver Builder» حتى الإصدار 2.10.1.1 ضمناً الوصف المكوّن الإضافي «Beaver Builder Page Builder» الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال المعلمة `settings[js]`، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المؤلف أو أعلى بحقن نصوص برمجية خبيثة في الصفحات، والتي سيتم تنفيذها لاحقًا عندما يصل المستخدم إلى الصفحة المخترقة. التوصيات قم بتحديث أداة إنشاء الصفحات Beaver Builder إلى إصدار أحدث من 2.10.1.1.

المكوّن الإضافي «Contact List» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال المعلمة ` cl map iframe`. ويؤدي عدم كفاية عملية تنقية المدخلات وتطهير المخرجات عند معالجة الحقل المخصص لإطار iframe الخاص بـ Google Maps إلى السماح بحقن نصوص برمجية ضارة. تقوم الدالة `saveCustomFields()` الموجودة في ملف class-contact-list-custom-fields.php باستخراج علامات iframe باستخدام تعبير عادي، لكنها تفشل في التحقق من صحة سمات iframe أو تنقيتها، مما يتيح إدراج معالجات الأحداث مثل ’onload‘. يتم تخزين كود HTML المستخرج لإطار iframe باستخدام الدالة `update post meta()`، ثم يتم عرضه لاحقًا على الواجهة الأمامية في ملف class-cl-public-card.php دون إجراء التهرب أو التصفية المناسبة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

المكوّن الإضافي «Unlimited Elements for Elementor» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال حقول إدخال النموذج. ويعود السبب في ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لبيانات إرسال النموذج عند عرضها في «سلة مهملات إدخالات النموذج» في لوحة الإدارة. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يقوم أحد المسؤولين بعرض إدخالات النموذج في سلة المهملات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة EventPrime، الإصدارات الأقدم من 4.2.8.5 الوصف المكوّن الإضافي EventPrime لـ WordPress معرض لعمليات تحميل غير مصرح بها لملفات الصور. يسجل المكوّن الإضافي نقطة نهاية واجهة برمجة التطبيقات (API) `upload file media` على أنها متاحة للجمهور دون اشتراط المصادقة أو التفويض أو التحقق من الرقم العشوائي (nonce)، على الرغم من إنشاء رقم عشوائي. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات الصور إلى دليل التحميلات في WordPress وإنشاء مرفقات في مكتبة الوسائط عبر نقطة النهاية `ep upload file media`. التوصيات قم بتحديث EventPrime إلى الإصدار 4.2.8.5 أو أحدث.

لا يقوم المكون الإضافي MyRewards – نقاط الولاء والمكافآت لـ WooCommerce الخاص بـ WordPress بالتحقق بشكل صحيح من تفويض المستخدم عند تنفيذ الإجراءات داخل الدالة `ajax`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بتعديل قواعد كسب نقاط برنامج الولاء أو إضافتها أو حذفها. وعلى وجه التحديد، يمكن للمهاجمين التلاعب بمضاعفات النقاط لتعيين قيم عشوائية.

المكوّن الإضافي Tutor LMS لـ WordPress معرض لخطر ”الإشارات المباشرة غير الآمنة إلى الكائنات“ (IDOR) بسبب عدم كفاية عمليات التحقق من التفويض على مستوى الكائن. وعلى وجه التحديد، تفتقر الدالات `course list bulk action()` و`bulk delete course()` و`update course status()` إلى التحقق من الصحة المناسب. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مدرب» (Instructor) في Tutor أو أعلى بتعديل أو حذف الدورات التدريبية التي لا يمتلكونها، من خلال التلاعب بمعرفات الدورات التدريبية في طلبات الإجراءات المجمعة. المعلمة المعرضة للخطر هي معرف الدورة التدريبية المستخدم في طلبات الإجراءات المجمعة.

يُعتبر المكون الإضافي IndieWeb لـ WordPress عرضة لثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم تطهير المدخلات بشكل كافٍ وعدم تصفية المخرجات بشكل كافٍ فيما يتعلق بالمعلمة `Telephone`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى حقن نصوص برمجية ويب ضارة في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم المستخدم بعرض الصفحة المخترقة.