Youcef Hamdani

يحتوي المكون الإضافي Cincopa للفيديو والوسائط الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting). وتحدث هذه الثغرة لأن المكون الإضافي يعالج الرمز المختصر `[cincopa]` عبر خطاف التصفية `comment text` دون إجراء تعقيم كافٍ للمدخلات أو حماية كافية للمخرجات. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب تعسفية عبر تعليقات المنشورات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

يحتوي المكون الإضافي Email JavaScript Cloak الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting). تحدث هذه الثغرة بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يزودها المستخدم ضمن الرمز المختصر «email». يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة.

يحتوي المكون الإضافي لمشغل الفيديو FV Flowplayer الخاص بـ WordPress على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن عدم كفاية عملية تنقية المدخلات وتشفير المخرجات لنص التعليقات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة. يعتمد نجاح الاستغلال على قيام المسؤول بتمكين الإعداد غير الافتراضي `parse comments` (تحليل روابط Vimeo وYouTube)، ويتطلب الموافقة على التعليق المقدم من قبل المسؤول قبل تسليم الحمولة.

يحتوي المكون الإضافي على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) ناتجة عن خطأ في التعبير النمطي (regex) في الدالة ` filter videos()` ومخرجات غير مُعلمة في القالب `admin/views/form-data.php`. يمكن لمهاجم معتمد يتمتع بحق الوصول على مستوى «المساهم» (Contributor) إدراج علامة `<video>` مصممة خصيصًا تحتوي على سمة `src` تتضمن سلسلة فرعية `class="`. يؤدي ذلك إلى خداع التعبير النمطي لاستبدال الفئة (class-replacement regex) ليستهلك علامة الاقتباس الختامية لقيمة السمة، مما يؤدي إلى تغيير حدود علامات الاقتباس في محلل HTML5 ويسمح بتنفيذ النص الذي يتحكم فيه المهاجم كسمات مستقلة لمعالج الأحداث، مثل `autofocus` و`onfocus`. ثم يتم تنفيذ البرنامج النصي المُدرج في متصفح أي مستخدم، بما في ذلك المسؤولون، الذين يشاهدون المنشور.

يتعرض المكون الإضافي لـ ”Reflected Cross-Site Scripting“، وهو عيب يتمثل في قيام التطبيق بتضمين بيانات غير موثوق بها في صفحة ويب دون التحقق منها بشكل صحيح، مما يسمح للمهاجمين بتنفيذ البرامج النصية في متصفح الضحية. توجد المشكلة في الدالة `render shortcode preview()`، التي تعالج المعلمة `shortcode` من طلب `$ GET`. تستخدم الدالة `stripslashes()`، لكنها تفشل في إجراء التنقية الكافية للمدخلات أو التهرب من المخرجات قبل تمرير البيانات إلى `do shortcode()`. إذا لم تكن المدخلات عبارة عن رمز قصير صالح في WordPress، يتم عرضها مباشرةً في الصفحة. يتطلب ذلك أن يكون المهاجم معتمدًا بحساب على مستوى «مشترك» على الأقل، حيث إن نقطة النهاية مسجلة عبر `admin post ` وتفتقر إلى التحقق من الرقم العشوائي (nonce) أو فحوصات الصلاحيات.

المكوّن الإضافي Taqnix لـ WordPress معرض لخطر تزوير الطلبات عبر المواقع (CSRF)، وهو عيب يتمكن من خلاله المهاجم من خداع المستخدم لإجراء إجراءات لم يكن ينوي القيام بها. يحدث هذا بسبب عدم وجود التحقق من الرقم العشوائي (nonce) في الدالة `taqnix delete my account()`، وتحديدًا حيث تم تعليق استدعاء الدالة `check ajax referer()`. يمكن للمهاجمين غير المصادق عليهم استغلال هذا الثغرة لإجبار المستخدمين المسجلين الدخول (غير الإداريين) على حذف حساباتهم عن طريق حثهم على النقر على رابط ضار أو زيارة صفحة تم اختراقها.

يحتوي المكون الإضافي «Create DB Tables» الخاص بـ WordPress على ثغرة تسمح بتجاوز إجراءات التفويض. يقوم المكون الإضافي بتسجيل ربطات إجراءات «admin post» لإنشاء الجداول («admin post add table») وحذف الجداول («admin post delete db table») دون تنفيذ فحوصات الصلاحيات أو التحقق من الرقم العشوائي (nonce). ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته، بما في ذلك أولئك الذين يتمتعون بحق الوصول على مستوى «المشترك» (Subscriber)، الوصول إلى نقاط النهاية هذه. تعالج الدالة `cdbt delete db table()` اسم الجدول الذي يقدمه المستخدم من المتغير `db table` وتنفذ استعلام SQL من نوع DROP TABLE، مما يسمح بحذف أي جدول في قاعدة البيانات، بما في ذلك الجداول الأساسية الحساسة في WordPress. وبالمثل، تسمح الدالة `cdbt create new table()` بإنشاء جداول قاعدة بيانات عشوائية.

يتعرض المكون الإضافي لـ ”تزوير الطلبات عبر المواقع“ (Cross-Site Request Forgery)، وهو عيب يتمكن من خلاله المهاجم من خداع الضحية لتنفيذ إجراءات لم تكن في نيتها. يحدث هذا لأن الدالة `ajax revoke token()`، التي تعالج إجراء AJAX ”petjeaf disconnect“، تفشل في تنفيذ التحقق من صحة الرمز العشوائي (nonce). الرمز العشوائي هو رمز فريد يُستخدم لضمان أن الطلب قد أُرسل عن قصد من قبل المستخدم. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم إجبار المستخدمين المصادق عليهم على إلغاء رموز OAuth2، وحذف بيانات تعريف المستخدم، وحذف حسابات مستخدمي WordPress لأولئك الذين يحملون دور `petjeaf member` عن طريق حثهم على النقر على رابط ضار أو زيارة موقع تم اختراقه.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي PZ Frontend Manager لـ WordPress حتى الإصدار 1.0.6 بما في ذلك الوصف المكوّن الإضافي PZ Frontend Manager لـ WordPress معرض لمشكلة تتعلق بنقص في عملية المصادقة. لا تقوم الدالة `pzfm user request action callback()`، التي يمكن الوصول إليها عبر نقطة نهاية AJAX `wp ajax pzfm user request action`، بإجراء فحوصات كافية للقدرات أو التحقق من الرقم العشوائي (nonce). تتولى هذه الدالة إدارة عمليات تنشيط المستخدمين وإلغاء تنشيطهم وحذفهم. وعلى وجه التحديد، عندما يتم تعيين المعلمة `dataType` على القيمة ’delete‘، تستدعي الدالة `wp delete user()` على معرّفات المستخدمين المقدمة دون التحقق من وجود أذونات كافية. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحذف أي مستخدمين في WordPress، بما في ذلك المسؤولين، عن طريق إرسال طلب مُصمم خصيصًا إلى نقطة النهاية ’'wp ajax pzfm user request action‘'. التوصيات بالنسبة للإصدارات حتى الإصدار 1.0.6 بما في ذلك، قم بالتحديث إلى إصدار أحدث يعالج مشكلة التفويض هذه.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة المكوّن الإضافي WP Blockade لـ WordPress حتى الإصدار 0.9.14 بما في ذلك الوصف المكوّن الإضافي WP Blockade لـ WordPress معرض لمشكلة تتعلق بانعدام إجراءات المصادقة. يقوم المكوّن الإضافي بتسجيل خطاف إجراء admin post باسم «wp-blockade-shortcode-render» والذي يرتبط بالدالة `render shortcode preview()`. لا تقوم هذه الدالة بإجراء فحوصات الصلاحيات أو التحقق من الرمز العشوائي (nonce)، مما يسمح للمستخدمين المصادق عليهم بتنفيذ أكواد قصيرة (shortcodes) عشوائية في WordPress. تسترد الدالة معلمة `shortcode` التي يزودها المستخدم من طلب $ GET، وتعالجها باستخدام stripslashes()، ثم تنفذها مباشرةً باستخدام do shortcode(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بتنفيذ أكواد قصيرة تعسفية، مما قد يؤدي إلى الكشف عن المعلومات، أو تصعيد الامتيازات، أو آثار أخرى اعتمادًا على الأكواد القصيرة المسجلة على الموقع. التوصيات الإصدارات حتى الإصدار 0.9.14 ضمناً: قم بالتحديث إلى إصدار أحدث من 0.9.14.

المكوّن الإضافي «Sherk Custom Post Type Displays» لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال سمة الرمز القصير «title». ويعود السبب في ذلك إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمة «title» للرمز القصير «sherkcptdisplays». تقوم الدالة `sherkcptdisplays func()` الموجودة في الملف includes/SherkCPTDisplaysShortcode.php باستخراج قيمة السمة «title» من الدالة shortcode atts() في السطر 19، ثم تدمجها مباشرةً في علامة HTML <h2> في السطر 31 دون إجراء عملية تهريب مناسبة. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.

يحتوي المكون الإضافي Task Manager لـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى الملفات. يمكن للمهاجمين الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى قراءة محتويات ملفات عشوائية على الخادم من خلال الدالة `callback get text from url()`. وقد يؤدي ذلك إلى كشف معلومات حساسة.

يحتوي المكون الإضافي WPFAQBlock – FAQ & Accordion Plugin For Gutenberg الخاص بـ WordPress على ثغرة أمنية تتعلق بالبرمجة النصية عبر المواقع. ترجع هذه الثغرة إلى عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يزودها المستخدم في المعلمة `class` للرمز المختصر `wpfaqblock`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى حقن نصوص برمجية ويب عشوائية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها.

المكون الإضافي «Task Manager» الخاص بـ WordPress معرض لتنفيذ أكواد قصيرة تعسفية من خلال إجراء AJAX الخاص بـ «البحث». ويحدث ذلك بسبب عدم وجود فحوصات للصلاحيات داخل الدالة `callback search()` وعدم كفاية التحقق من صحة المدخلات. وعلى وجه التحديد، يمكن لتركيب الرموز القصيرة تجاوز دالة `sanitize text field()` ثم يتم دمجها في استدعاء دالة `do shortcode()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتنفيذ رموز قصيرة تعسفية على الموقع عن طريق حقن تركيب الرموز القصيرة في معلمات مثل `task id` أو `point id` أو `categories id` أو `term`. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي ’/wp-admin/admin-ajax.php‘.

المكوّن الإضافي Outgrow لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال السمة «id» في الرمز المختصر «outgrow». ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وتشفير المخرجات للسمات التي يزودها المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة.

يُعتبر المكون الإضافي WordPress Content Syndication Toolkit عرضة لمشكلة تزوير الطلبات من جانب الخادم (SSRF). حيث يقوم المكون الإضافي بتسجيل نقطة نهاية وكيل غير مصدقة، وهي ’'wp ajax nopriv redux p‘'، والتي تقبل عنوان URL من معلمة GET `url` دون التحقق من صحتها. ويتم تمرير هذه المعلمة إلى `wp remote request()`، التي تفتقر إلى الحماية المدمجة ضد SSRF. ويسمح غياب عمليات التحقق من المصادقة، والتحقق من الرقم العشوائي (nonce)، وقيود عناوين URL للمهاجمين بإجراء طلبات ويب إلى مواقع عشوائية من تطبيق الويب، مما قد يتيح الوصول إلى الخدمات الداخلية، ومسح الشبكة، والتفاعل مع نقاط نهاية بيانات التعريف السحابية.

المكوّن الإضافي Instant Popup Builder لـ WordPress معرض لخطر تنفيذ رموز قصيرة تعسفية غير مصدّقة. يحدث هذا لأن الدالة `handle email verification page()` تنشئ سلسلة رموز قصيرة من معلمات GET `token` و`email` التي يزودها المستخدم، وتمررها إلى `do shortcode()` دون تنقية كافية لأحرف الأقواس المربعة، كما تفتقر إلى عمليات التحقق من الصلاحية. لا تقوم الدالتان `sanitize text field()` و`esc attr()` بإزالة أحرف الأقواس المربعة أو إخفائها. يمكن لقيمة `token` ضارة تحتوي على حرف ’]‘ أن تغلق علامة الرمز القصير قبل الأوان، مما يسمح للمهاجمين غير المصادق عليهم بحقن وتنفيذ رموز قصيرة مسجلة تعسفية.

يعاني المكوّن الإضافي ZoomifyWP Free الخاص بـ WordPress من مشكلة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado). ويرجع ذلك إلى عدم كفاية عملية تنقية المدخلات وعدم كفاية عملية التهرب من المخرجات في السمات التي يقدمها المستخدم. وعلى وجه التحديد، يتأثر المعلمة «filename» الخاصة بالرمز المختصر «zoomify». يمكن للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يقوم مستخدم بالوصول إلى الصفحة التي تم حقنها.

المكوّن الإضافي Bold Page Builder لـ WordPress معرض لثغرة «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال الرمز المختصر `bt bb accordion item`. ويحدث ذلك بسبب عدم تطهير المدخلات بشكل كافٍ وعدم الهروب المناسب من المخرجات الخاصة بالسمات التي يقدمها المستخدم. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. وسيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة المتأثرة.

المكون الإضافي Buy Now Plus – Buy Now buttons for Stripe لـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (XSS) من خلال الرمز المختصر `buynowplus`. يؤدي عدم كفاية تنقية المدخلات والهروب غير المناسب للمخرجات في سمات الرمز القصير إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بمستوى وصول «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات. سيتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها.