Vilaysone Chanthavong

تسمح عدم كفاية عملية تنقية المدخلات وتفادي المخرجات في حقل المرفقات «Image Source» للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب تعسفية. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة متأثرة. يُعد «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) عيبًا يتمثل في تخزين نص برمجي ضار بشكل دائم على الخادم المستهدف.

المكون الإضافي معرض لخطر «حقن كائنات PHP» (PHP Object Injection) بسبب عملية إزالة التسلسل (deserialization) لمدخلات غير موثوق بها داخل الدالة `import shortcodes()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المسؤول أو أعلى بحقن كائن PHP. تتطلب هذه المشكلة وجود سلسلة POP (تسلسل من الأدوات المستخدمة لتحقيق هدف محدد أثناء عملية إزالة التسلسل) في مكون إضافي أو سمة أخرى مثبتة حتى يكون لها تأثير. في حالة وجود مثل هذه السلسلة، فقد تتيح حذف ملفات عشوائية، أو استرداد بيانات حساسة، أو تنفيذ تعليمات برمجية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي «Quick Playground» الخاص بـ WordPress حتى الإصدار 1.3.1 بما في ذلك الوصف المكوّن الإضافي Quick Playground لـ WordPress معرض لخطر تنفيذ التعليمات البرمجية عن بُعد بسبب عدم كفاية عمليات التحقق من الصلاحيات على نقاط نهاية واجهة برمجة التطبيقات REST. تعرض نقاط النهاية هذه رمز مزامنة وتسمح بتحميل ملفات عشوائية. وهذا يتيح للمهاجمين غير المصادق عليهم استرداد رمز المزامنة، وتحميل ملفات PHP باستخدام تقنيات اجتياز المسار، وبالتالي تنفيذ التعليمات البرمجية عن بُعد على الخادم. التوصيات تحديث المكوّن الإضافي Quick Playground إلى إصدار أحدث من 1.3.1.

يعاني المكون الإضافي Advance Block Extend لـ WordPress من مشكلة ”التنفيذ البرمجي عبر المواقع المخزنة“ (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية تنقية المدخلات وتسرب المخرجات في السمة TitleColor في كتلة ”أحدث المنشورات“ في Gutenberg. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول ”مساهم“ أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه البرامج النصية عندما يزور مستخدم ما الصفحة المتأثرة.

المكوّن الإضافي Frontis Blocks لـ WordPress معرض لخطر تزوير الطلبات من جانب الخادم (SSRF). ويعود ذلك إلى التقييد غير الكافي للمعلمة `url` داخل الدالة `template proxy`. وهذا يسمح للمهاجمين غير المصادق عليهم بإرسال طلبات ويب إلى مواقع عشوائية من خلال التطبيق. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي ’/template-proxy/‘ و ’/proxy-image/‘.