Vaibhav Narkhede

An unauthenticated AJAX action fails to perform authorization or visibility checks when returning team member records by ID. This allows unauthenticated attackers to enumerate and disclose sensitive information, such as email addresses and phone numbers, of team members that the administrator has not published publicly.

The plugin fails to perform capability, nonce, or session checks on a public AJAX action, specifically within the `formychat get gf entry()` function. This allows unauthenticated users to read submitted entries from any form created with a supported third-party form. A nonce is a unique token used to prevent replay attacks by ensuring that a request is intentional and comes from a trusted source.

The plugin fails to exclude registered account email addresses from the structured data output on public pages by default. This allows unauthenticated visitors to obtain the email addresses of any user who has published content.

An authorization bypass exists in the public submission handler that allows unauthenticated users to retrieve the full stored configuration of a form. This can lead to the disclosure of sensitive information, such as notification recipient addresses, confirmation redirect targets, and integration settings, including data from forms that have not been published.

The plugin fails to verify the status of a document before generating a download token and streaming the file. This allows unauthenticated attackers to download arbitrary documents, including those marked as private or drafts, by enumerating document IDs.

An authorization check is missing on a REST route that returns stored account data. This allows unauthenticated visitors to retrieve the connected service's API secret and account details, which can subsequently be used to disconnect the plugin's integration.

An issue exists where the plugin fails to properly verify if a customer portal session has completed its confirmation step before returning data. This allows unauthenticated users to access and read the subscription and billing information of other customers.

The plugin fails to perform a capability check on certain endpoints of a public AJAX action, specifically within the `kirki get apis` function. This allows unauthenticated users to retrieve email addresses of registered users and comment authors, along with non-public page content and settings.

توجد مشكلة تتمثل في فشل المكون الإضافي في إجراء فحوصات الصلاحيات أو الملكية عند تنفيذ إجراء تحديث حالة الحجز. هذا الإجراء معرض للمستخدمين غير المصادق عليهم، ولا يحميه سوى رقم عشوائي (يُستخدم مرة واحدة لمنع هجمات إعادة التشغيل) متاح للزوار بشكل عام، مما يسمح للمهاجمين غير المصادق عليهم بتعديل حالة الحجوزات بشكل تعسفي.

يفشل المكون الإضافي في إجراء فحوصات الصلاحيات أو الرموز العشوائية (nonce) على إجراء نقطة نهاية REST عامة. وهذا يسمح للمستخدمين غير المصادق عليهم بحذف أرشيفات ZIP لتصدير الألبومات التي تم إنشاؤها والمخزنة بواسطة النظام عبر الإجراء `delexportzips`. الرقم العشوائي (nonce) هو رمز فريد يُستخدم لمنع هجمات إعادة التشغيل (replay attacks) من خلال التأكد من أن الطلب مقصود ويأتي من مصدر موثوق.

تؤدي ضوابط الوصول غير الكافية في نقطة نهاية REST إلى السماح للمستخدمين الذين يحملون دور «المساهم» (Contributor) أو أعلى بحفظ ملفات CSS عامة عشوائية. يتم عرض CSS المخزّن هذا على نطاق الموقع بأكمله في الواجهة الأمامية، مما قد يؤدي إلى تشويه الموقع وإخفاء المحتوى وتغيير واجهة المستخدم (وهي تقنية تُستخدم لخداع المستخدم لحمله على تنفيذ إجراء في تطبيق مختلف عن التطبيق الذي كان ينوي استخدامه).

Insufficient sanitization of uploaded SVG and SVGZ files allows authenticated users with the `upload files` capability (Author level and above) to upload files containing malicious JavaScript. This leads to Stored Cross-Site Scripting, where arbitrary web scripts are injected into pages and execute whenever a user accesses the affected page.

توجد مشكلة تتمثل في أن معالج البحث عن المستخدمين لا يقتصر بشكل صحيح على المستخدمين المصرح لهم بعرض قائمة المستخدمين. وهذا يسمح لأي مستخدم تمت مصادقته ولديه صلاحيات على مستوى «المساهم» (Contributor) أو أعلى باسترداد عناوين البريد الإلكتروني لجميع المستخدمين المسجلين، بما في ذلك المسؤولون، عبر الدالة `geodir json search users`.

يمكن لمستخدم غير معتمد تحميل ملفات عشوائية لأن المكون الإضافي يفشل في التحقق من صحة نوع الملفات أو امتدادها أو محتواها أو حجمها التي يتم إرسالها إلى نقطة نهاية الاستجابة العامة الخاصة به. يتم تخزين هذه الملفات في دليل ”uploads“. ونظرًا لأن الامتداد الأصلي يتم تجاهله ويتم تخزين الملفات باستخدام معرّف UUID (المعرّف الفريد العالمي) بدون امتداد، فإن هذه المشكلة لا تسمح بتنفيذ التعليمات البرمجية أو XSS (التنفيذ البرمجي عبر المواقع) المخزّن. يقتصر التأثير على استضافة المحتوى واستهلاك مساحة القرص. تتطلب هذه المشكلة تكوين تخزين استجابات القناة أو إعادة توجيه البريد.

توجد مشكلة تتمثل في فشل المكون الإضافي في إجراء فحوصات الصلاحيات أو التحقق من صحة الرمز العشوائي (nonce) — وهي آلية أمان تُستخدم لمنع تزوير الطلبات عبر المواقع — على إجراء AJAX يُستخدم لمعالجة عمليات استرداد المدفوعات المسجلة. وهذا يسمح لأي مستخدم تمت مصادقته، بما في ذلك أولئك الذين يتمتعون بامتيازات المشتركين، بتفعيل عمليات استرداد الأموال للطلبات المسجلة.

عند تفعيل المكون الإضافي، يمنح دور ”المساهم“ صلاحيات ”وكيل الدعم“. بالإضافة إلى ذلك، يفشل المكون الإضافي في إجراء فحص للصلاحيات على معالج قائمة المستخدمين، مما يسمح للمستخدمين الذين يتمتعون بامتيازات على مستوى ”المساهم“ بتحديد عناوين البريد الإلكتروني لجميع مستخدمي WordPress المسجلين.

تسمح متطلبات الصلاحيات الإدارية غير الكافية لإجراء استيراد القوالب في لوحة التحكم للمستخدمين الذين يتمتعون بأذونات `edit posts`، مثل المساهمين، باستيراد القوالب. يمكن للمهاجم تضمين عنصر واجهة مستخدم HTML من Elementor تم تكوينه للعرض على نطاق الموقع بأكمله لحقن جافا سكريبت يتم تنفيذه في جلسة عمل أي زائر أو مسؤول يقوم بتحميل الموقع.

توجد مشكلة في ميزة البحث الإداري، حيث تفشل في إجراء فحوصات صلاحيات القراءة لكل مستخدم على النتائج المعروضة. وهذا يسمح للمستخدمين الذين يشغلون أدوارًا ذات امتيازات محدودة، مثل «المساهم» (Contributor)، بالكشف عن محتوى غير عام يكون مقيدًا عادةً، بما في ذلك عناوين المنشورات غير المنشورة لمؤلفين آخرين، ومحتوى التعليقات المعلقة، وأسماء حسابات المستخدمين، وقائمة المكونات الإضافية.

يفشل المكون الإضافي Decent Comments لـ WordPress في تقييد الوصول إلى عناوين البريد الإلكتروني لمؤلفي التعليقات ومؤلفي المنشورات عبر نقطة نهاية واجهة برمجة التطبيقات (REST API) الخاصة به. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديد عناوين البريد الإلكتروني للمستخدمين المسجلين.