Wesley

The Lightweight Cookie Notice – Cookie Banner for Cookie Consent plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.19 This is due to the W3TC DYNAMIC SECURITY constant being hardcoded to a publicly known value. This makes it possible for unauthenticated attackers to know the W3 Total Cache mfunc security key, which when W3 Total Cache is installed may allow arbitrary PHP code injection.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Divi Torque Lite – إصدارات Divi Theme و Divi Builder و Extra Theme الأقدم من 4.2.4 **الوصف** المكوّن الإضافي معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتم من خلاله خداع المهاجم لمستخدم مسجل الدخول لتنفيذ إجراءات لم يكن يقصدها. يحدث هذا لأن نقاط نهاية واجهة برمجة تطبيقات REST `/install plugin` و`/activate plugin` تستخدم ` return true` كـ`permission callback`، مما يتجاوز التحقق القياسي من الرمز العشوائي (nonce) (وهو رمز فريد يُستخدم لمنع CSRF) في واجهة برمجة تطبيقات REST الخاصة بـWordPress. على الرغم من وجود عمليات فحص داخلية باستخدام `current user can()`، فإن عدم وجود التحقق من الرمز العشوائي (nonce) يسمح لطلب مزور صادر من متصفح أحد المسؤولين باجتياز هذه الفحوصات باستخدام ملفات تعريف الارتباط الخاصة بجلسة عمل المسؤول، مما يمكّن المهاجمين غير المصادق عليهم من تثبيت مكونات إضافية عشوائية. **التوصيات** قم بالتحديث إلى إصدار أحدث من 4.2.3. تقييد الوصول إلى نقاط نهاية واجهة برمجة تطبيقات REST `/install plugin` و`/activate plugin` كإجراء تخفيفي مؤقت.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات RTMKit الأقدم من 2.0.8 **الوصف** يحتوي المكون الإضافي RTMKit (rometheme-for-elementor) الخاص بـ WordPress على ثغرة أمنية تتعلق بتضمين الملفات المحلية (Local File Inclusion). وتحدث هذه الثغرة لأن نقطة نهاية AJAX `render templates` لا تتحقق بشكل صحيح من صحة المعلمة `template` قبل استخدامها في عبارة require/include. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (Contributor) أو أعلى استغلال هذا الخلل لتضمين وتنفيذ أي ملفات خادم تنتهي بـ templates.php، مما يؤدي إلى تنفيذ تعليمات برمجية PHP تعسفية. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.0.7. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة نهاية AJAX `render templates` أو قم بتحديد أذونات المستخدمين لمنع المستخدمين من مستوى «المساهم» من الوصول إلى الوظيفة المتأثرة.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات RTMKit الأقدم من 2.0.8 **الوصف** يحتوي المكون الإضافي RTMKit الخاص بـ WordPress على ثغرة غير صحيحة في نظام التفويض. لا تقوم نقطة نهاية AJAX «get submission content» بإجراء فحص للصلاحيات للتحقق مما إذا كان المستخدم مخولًا بالوصول إلى بيانات إرسال نماذج محددة. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى عرض عمليات إرسال النماذج التعسفية من المستخدمين الآخرين عن طريق تكرار المعلمة `entries id`. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.0.7. كحل مؤقت، قم بتقييد الوصول إلى نقطة نهاية AJAX «get submission content» أو قم بتحديد أذونات المستخدمين لمنع الحسابات ذات مستوى «مساهم» من الوصول إلى بيانات إرسال النماذج.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي «Newsletters» لإصدارات WordPress السابقة للإصدار 4.14 **الوصف** المكوّن الإضافي معرض لخطر حقن SQL القائم على الوقت، وهي تقنية يقوم فيها المهاجم بإرسال استعلامات تجبر قاعدة البيانات على الانتظار لفترة زمنية محددة قبل الرد، مما يسمح له باستخلاص البيانات. يحدث هذا بسبب عدم كفاية تصفية المعلمات التي يقدمها المستخدم وعدم الإعداد السليم لاستعلام SQL. يمكن للمهاجمين غير المصادق عليهم إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات عبر المعلمة `wpmlsubscriber id`. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 4.14 أو أحدث. كحل مؤقت، قم بتقييد الوصول إلى الوظائف التي تستخدم المعلمة `wpmlsubscriber id`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات W3 Total Cache حتى الإصدار 2.9.3 ضمناً الوصف المكوّن الإضافي W3 Total Cache الخاص بـ WordPress معرض لخطر الكشف عن المعلومات. يتجاوز المكوّن الإضافي عملية التخزين المؤقت للنتائج ومعالجتها عندما يحتوي رأس User-Agent على ”W3 Total Cache“، مما يؤدي إلى عرض تعليقات HTML الأولية للأجزاء الديناميكية mfunc/mclude، بما في ذلك الرمز الأمني `W3TC DYNAMIC SECURITY`، في مصدر الصفحة. وهذا يسمح للمهاجمين غير المصادق عليهم باكتشاف قيمة الثابت `W3TC DYNAMIC SECURITY` عن طريق إرسال رأس User-Agent مُعدّ خصيصًا إلى الصفحات التي تم تمكين التخزين المؤقت للأجزاء فيها. التوصيات تحديث W3 Total Cache إلى إصدار أحدث من 2.9.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP-WebAuthn لـ WordPress حتى الإصدار 1.3.4 بما في ذلك **الوصف** المكوّن الإضافي WP-WebAuthn لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن غير المصادق عليه» (Unauthenticated Stored Cross-Site Scripting) من خلال نقطة نهاية واجهة برمجة التطبيقات (API) `wwa auth`. ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات للسمات التي يزودها المستخدم عند قيام المكون الإضافي بتسجيل البيانات. يمكن لمهاجم غير مصدق عليه حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى صفحة سجل المكون الإضافي، شريطة أن يكون التسجيل ممكّنًا في إعدادات المكون الإضافي. **التوصيات** قم بتحديث المكون الإضافي WP-WebAuthn إلى إصدار أحدث من 1.3.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WPCOM Member لـ WordPress في الإصدارات الأقدم من 1.7.17 **الوصف** البرنامج عرضة للتحايل على عملية المصادقة من خلال هجمات القوة الغاشمة. ويرجع ذلك إلى ضعف عملية إنشاء كلمة المرور لمرة واحدة (OTP)، حيث تستخدم ستة أرقام فقط مع فترة صلاحية مدتها عشر دقائق، بالإضافة إلى عدم وجود حد أقصى لعدد محاولات المصادقة. يمكن للمهاجم الذي يعرف رقم هاتف الهدف أن يتجاوز المصادقة بصفته أي مستخدم، بما في ذلك المسؤولون، في حال لم يلاحظ الهدف الأمر على الفور أو تجاهل الإشعار عبر الرسائل القصيرة (SMS) الذي يحتوي على كلمة المرور لمرة واحدة (OTP). **التوصيات** قم بتحديث المكون الإضافي WPCOM Member إلى الإصدار 1.7.17 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي GSheetConnector For Gravity Forms لـ WordPress في الإصدارات الأقدم من 1.3.28 **الوصف** المكوّن الإضافي GSheetConnector For Gravity Forms لـ WordPress معرض لثغرة تسمح بتجاوز التفويض. ويحدث ذلك بسبب عدم وجود فحص للصلاحيات في الدالة `install plugin`. يمكن للمهاجمين الذين يتمتعون بوصول على مستوى المشترك أو أعلى تثبيت المكونات الإضافية على الموقع المستهدف، مما قد يؤدي إلى تنفيذ تعليمات برمجية تعسفية على الخادم. **التوصيات** قم بتحديث المكون الإضافي GSheetConnector For Gravity Forms إلى الإصدار 1.3.28 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي GSheetConnector For Gravity Forms لـ WordPress، الإصدارات الأقدم من 1.3.24 **الوصف** البرنامج معرض لخطر التزوير بين المواقع (CSRF) بسبب التحقق غير الكافي من صحة الرقم العشوائي (nonce) في الدالتين `activate plugin` و`deactivate plugin`. وهذا يتيح للمهاجمين إمكانية حث المسؤولين المصادق عليهم على تنشيط أو تعطيل المكونات الإضافية من خلال طلب مزور، مثل رابط ضار أو صفحة ويب مخترقة. **التوصيات** قم بالتحديث إلى الإصدار 1.3.24 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WP Travel Engine – Tour Booking Plugin – Tour Operator Software، الإصدارات الأقدم من 6.6.7 **الوصف** يحتوي المكون الإضافي WP Travel Engine – Tour Booking Plugin – Tour Operator Software الخاص بـ WordPress على ثغرة تسمح بحذف الملفات بشكل تعسفي عن طريق إعادة تسميتها، وذلك بسبب التحقق غير الكافي من مسار الملف داخل الدالة `set user profile image`. وهذا يسمح للمهاجمين غير المصادق عليهم بحذف الملفات من الخادم، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في حالة إزالة ملفات حساسة، مثل wp-config.php. **التوصيات** قم بتحديث WP Travel Engine – Tour Booking Plugin – Tour Operator Software إلى إصدار أحدث من 6.6.7.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WP Travel Engine – Tour Booking Plugin – Tour Operator Software، الإصدارات الأقدم من 6.6.8 **الوصف** المكوّن الإضافي WP Travel Engine – Tour Booking Plugin – Tour Operator Software الخاص بـ WordPress معرض لثغرة «تضمين ملف محلي» في الإصدارات حتى 6.6.7 ضمناً. تتيح هذه الثغرة للمهاجمين غير المصادق عليهم تضمين ملفات .php عشوائية وتنفيذها على الخادم عبر المعلمة `mode`. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تمكين المهاجمين من التحايل على ضوابط الوصول، أو الحصول على بيانات حساسة، أو تنفيذ كود PHP في حالة السماح بتحميل ملفات .php. **التوصيات** قم بتحديث WP Travel Engine – Tour Booking Plugin – Tour Operator Software إلى الإصدار 6.6.8 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي LatePoint لـ WordPress حتى الإصدار 5.1.94 **الوصف** يحتوي المكوّن الإضافي LatePoint لـ WordPress على ثغرة تسمح بالتحايل على عملية المصادقة. ويرجع ذلك إلى عدم كفاية التحقق من الهوية داخل المسار `steps load step` لنقطة نهاية واجهة برمجة التطبيقات (API) `latepoint route call`. تقوم نقطة النهاية بمعالجة البريد الإلكتروني للعميل والحقول ذات الصلة التي يقدمها العميل قبل استدعاء معالج تسجيل الدخول الداخلي دون التحقق من حالة تسجيل الدخول أو عمليات التحقق من الصلاحية أو وجود رقم عشوائي AJAX صالح. وهذا يسمح للمهاجمين غير المصادق عليهم بتسجيل الدخول إلى حساب أي عميل. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للثغرة هي `/latepoint route call`. والمعلمة المعرضة للثغرة هي `customer email`. **التوصيات** قم بتحديث المكون الإضافي LatePoint إلى إصدار أحدث من 5.1.94.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي LatePoint لـ WordPress حتى الإصدار 5.1.94 **الوصف** البرنامج معرض لخطر تزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم التحقق من صحة الرقم العشوائي (nonce). ويحدث ذلك في الدالة `change password()` ضمن مسار AJAX `customer cabinet change password`. يستخدم المكون الإضافي الخطافات `wp ajax` و`wp ajax nopriv` لهذه النقطة النهائية دون التحقق من رقم nonce أو صلاحيات المستخدم قبل السماح بإعادة تعيين كلمة المرور. وهذا يتيح للمهاجمين غير المصادق عليهم إمكانية الاستيلاء على الحسابات عن طريق حث العملاء المسجلين الدخول، أو المسؤولين الذين تم تفعيل خيار «WP users as customers» لديهم، على زيارة رابط ضار. **التوصيات** قم بتحديث المكون الإضافي LatePoint إلى إصدار أحدث من 5.1.94.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Kubio AI Page Builder لـ WordPress حتى الإصدار 2.6.3 بما في ذلك **الوصف** المكوّن الإضافي Kubio AI Page Builder لـ WordPress معرض لخطر التثبيت غير المصرح به للمكوّنات الإضافية بسبب عدم وجود تحقق من الصلاحيات في إجراء AJAX `kubio-image-hub-install-plugin`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتثبيت المكون الإضافي Image Hub. **التوصيات** قم بتحديث المكون الإضافي Kubio AI Page Builder إلى إصدار أحدث من 2.6.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي WP Legal Pages لـ WordPress، الإصدارات حتى الإصدار 3.4.3 بما في ذلك **الوصف** المكوّن الإضافي WP Legal Pages لـ WordPress معرض لخطر الوصول غير المصرح به إلى الوظائف بسبب عدم وجود تحقق من الأذونات في الدالة `wplp gdpr install plugin ajax handler()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى بتثبيت مكونات إضافية عشوائية من المستودع. **التوصيات** قم بتحديث المكون الإضافي WP Legal Pages إلى إصدار أعلى من 3.4.3. كإجراء مؤقت، قم بتقييد الوصول للمستخدمين الذين يتمتعون بمستوى وصول «مساهم» أو أعلى.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Blaze Demo Importer لـ WordPress حتى الإصدار 1.0.12 **الوصف** يُعتبر المكون الإضافي Blaze Demo Importer لـ WordPress عرضة للتثبيت غير المصرح به والمحدود للمكونات الإضافية بسبب عدم وجود فحص للأذونات داخل الدالة `blaze demo importer install plugin`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المشترك“ أو أعلى بتثبيت وتفعيل مجموعة محدودة من المكونات الإضافية المحددة. يجب أن يكون المكون الإضافي News Kit Elementor Addons وإحدى قوالب BlazeThemes مثبتين ومفعّلين حتى يتمكن المهاجم من استغلال هذه الثغرة. **التوصيات** قم بتحديث المكون الإضافي Blaze Demo Importer إلى إصدار أحدث من 1.0.12.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Blog Designer For Elementor – Post Slider، Post Carousel، Post Grid الإصدار 1.1.7 **الوصف** تحدث مشكلة تزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرمز العشوائي (nonce) أو وجود خطأ فيه في الدالة `bdfe install activate rswpbs only()`. وهذا يسمح للمهاجمين غير المصادق عليهم بتثبيت المكون الإضافي ’rs-wp-books-showcase‘ عن طريق خداع مسؤول الموقع للنقر على رابط ضار. والتحقق من صحة الرمز العشوائي هو إجراء أمني يُستخدم للتأكد من أن الطلب قد أُرسل عن قصد من قبل المستخدم ولم يتم تزويره من قبل طرف ثالث. **التوصيات** قم بتحديث Blog Designer For Elementor – Post Slider, Post Carousel, Post Grid إلى إصدار أحدث من 1.1.7. كحل مؤقت، قم بتقييد الوصول الإداري إلى لوحة تحكم WordPress على الشبكات الموثوقة فقط.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Zoho Flow لـ WordPress للإصدارات الأقدم من 2.14.2 **الوصف** تحدث ثغرة «تزوير الطلبات عبر المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة `zoho flow deactivate plugin()`. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل إعدادات الطباعة عن طريق خداع مسؤول الموقع للنقر على رابط ضار. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.14.1. كإجراء تخفيفي مؤقت، قم بتقييد الوصول الإداري إلى إعدادات المكون الإضافي.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي LWSCache لـ WordPress حتى الإصدار 2.8.5 بما في ذلك **الوصف** المكوّن الإضافي LWSCache لـ WordPress معرض لتعديل البيانات دون إذن بسبب عدم كفاية الصلاحيات داخل الدالة `lwscache activatePlugin()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتنشيط أي مكون إضافي LWS مدرج في القائمة البيضاء. **التوصيات** قم بتحديث المكون الإضافي LWSCache إلى إصدار أحدث من 2.8.5.