Youssef Elouaer

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Bookly حتى الإصدار 27.0 ضمناً الوصف نظام الجدولة وحجز المواعيد عبر الإنترنت – المكون الإضافي Bookly لـ WordPress معرض للتلاعب بالأسعار من خلال المعلمة `tips`. لا يقوم المكون الإضافي بالتحقق بشكل صحيح من صحة المدخلات التي يقدمها المستخدم مقارنة بالسعر المُعد مسبقًا، مما يسمح للمهاجمين غير المصادق عليهم بإدخال رقم سالب في المعلمة `tips`. وقد يؤدي ذلك إلى خفض السعر الإجمالي إلى الصفر. التوصيات تحديث Bookly إلى إصدار أحدث من 27.0.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة WCAPF – إصدارات «WooCommerce Ajax Product Filter» حتى الإصدار 4.2.3 ضمناً الوصف يُعتبر المكون الإضافي WooCommerce Ajax Product Filter عرضة لهجمات حقن SQL المستندة إلى الوقت من خلال المعلمة `post-author`. يؤدي عدم كفاية تنقية المدخلات وعدم كفاية إعداد استعلامات SQL إلى السماح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL إضافية، مما قد يؤدي إلى استخراج معلومات حساسة من قاعدة البيانات. التوصيات التحديث إلى إصدار أعلى من 4.2.3

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Pie Register – المكون الإضافي لتسجيل المستخدمين والملفات الشخصية وتقييد المحتوى الخاص بـ WordPress حتى الإصدار 3.8.4.8 بما في ذلك الوصف المكوّن الإضافي Pie Register الخاص بـ WordPress معرض لتعديل البيانات دون إذن. يؤدي عدم وجود فحص للصلاحيات داخل الدالة `pie main()` إلى السماح للمهاجمين غير المصادق عليهم بتغيير حالة نموذج التسجيل. التوصيات قم بتحديث المكوّن الإضافي Pie Register إلى إصدار أحدث من 3.8.4.8.

يؤدي عدم إجراء فحص الصلاحيات إلى تمكين المهاجمين غير المصادق عليهم من التسبب في فقدان البيانات دون إذن. يقوم إطار عمل MVC الخاص بالمكوّن الإضافي بتسجيل معالجات AJAX غير المصادق عليها ديناميكيًا عبر خطافات `wp ajax nopriv ` دون التحقق من صلاحيات المستخدم. ويقترن ذلك بالطريقة السحرية ` call()` الخاصة بوحدة التحكم الأساسية، والتي تقوم بإعادة توجيه استدعاءات الطرق غير المعرفة إلى طبقة النموذج، في حين أن الطريقة `havePermissions()` تُعيَّن افتراضيًّا على `true` عندما لا يتم تعريف أي أذونات بشكل صريح. يمكن للمهاجم اقتطاع جدول قاعدة البيانات `wp wpf filters` عن طريق إرسال طلب AJAX مُصمم خصيصًا إلى نقطة النهاية باستخدام متغير `action` المُعيَّن على ’delete‘، مما يؤدي إلى التدمير الدائم لجميع تكوينات المرشحات.

يُعتبر المكون الإضافي Thim Kit for Elementor – Pre-built Templates & Widgets for Elementor الخاص بـ WordPress عرضة للوصول غير المصرح به إلى البيانات. يؤدي عدم وجود فحص للتحقق من الصحة في نقطة نهاية واجهة برمجة التطبيقات (API) `thim-ekit/archive-course/get-courses` إلى السماح للمهاجمين غير المصادق عليهم بالكشف عن محتوى دورات LearnPress الخاص أو المسودات. ويتم تحقيق ذلك عن طريق التلاعب بالمعلمة `post status` داخل الحمولة `params url`.

المكوّن الإضافي Wicked Folders لـ WordPress معرض لمشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات» في الإصدارات حتى الإصدار 4.1.0 ضمناً. ويرجع ذلك إلى عدم التحقق من صحة مفتاح يتحكم فيه المستخدم داخل الدالة `delete folders()`. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى استغلال هذه الثغرة لحذف المجلدات التي أنشأها مستخدمون آخرون. الدالة `delete folders()` هي المكون المتورط مباشرة في هذه المشكلة.

المكون الإضافي NEX-Forms – Ultimate Forms لـ WordPress معرض لمشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات». ويرجع ذلك إلى عدم وجود عملية التحقق من صحة مفتاح يتحكم فيه المستخدم داخل الدالة `submit nex form()`. وهذا يسمح للمهاجمين غير المصادق عليهم بالكتابة فوق إدخالات النماذج التعسفية عن طريق التلاعب بالمعلمة `nf set entry update id`.

المكوّن الإضافي Name Directory لـ WordPress معرض لخطر ”التنفيذ البرمجي عبر المواقع المخزّن“ (Stored Cross-Site Scripting) من خلال المعلمة `name directory name`. يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات. يتم تنفيذ هذه النصوص البرمجية عندما يصل المستخدم إلى الصفحة التي تم حقنها. تمت معالجة المشكلة جزئيًا في الإصدارين 1.30.3 و 1.32.1.

المكون الإضافي «Responsive Contact Form Builder & Lead Generation» الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting) من خلال عمليات إرسال حقول النماذج. يحدث ذلك لأن الدالة `lfb lead sanitize()` لا تقوم بتنقية المدخلات بشكل كافٍ، حيث تستبعد على وجه التحديد أنواعًا معينة من الحقول من قائمة التنقية البيضاء الخاصة بها. وهذا، إلى جانب مرشح `wp kses()` المتساهل الذي يسمح بسمات `onclick` في علامات الارتباط، يمكّن المهاجمين غير المصادق عليهم من حقن نصوص برمجية ويب ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يقوم المسؤول بعرض إدخالات العملاء المحتملين داخل لوحة تحكم WordPress. تسمح هذه الثغرة الأمنية بحقن نصوص برمجية ويب تعسفية عبر عمليات إرسال حقول النماذج.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Gutena Forms – نموذج الاتصال، ونموذج الاستطلاع، ونموذج الملاحظات، ونموذج الحجز، ومنشئ النماذج المخصصة لـ WordPress حتى الإصدار 1.6.0 بما في ذلك الوصف المكوّن الإضافي Gutena Forms لـ WordPress معرض للتعديل غير المصرح به للبيانات. يؤدي غياب التحقق من الصلاحيات في الدالة `save gutena forms schema()` إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بتحديث قيم الخيارات. وقد يؤدي ذلك إلى حجب الخدمة عن طريق إحداث أخطاء في الموقع أو تمكين ميزات تم تعطيلها صراحةً، مثل تسجيل مستخدمي الموقع. التوصيات يجب تحديث الإصدارات حتى الإصدار 1.6.0 بما في ذلك.

المكون الإضافي wpForo Forum الخاص بـ WordPress معرض لثغرة حقن SQL تعتمد على الوقت عبر المعلمة `wpfob`. إن عدم كفاية تصفية المدخلات المقدمة من المستخدم والتحضير غير الملائم لاستعلامات SQL يسمح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL إضافية في الاستعلامات الموجودة. وقد يؤدي ذلك إلى استخراج معلومات حساسة من قاعدة البيانات.

يحتوي البرنامج على مشكلة تتعلق بـ ”الإشارة المباشرة غير الآمنة إلى الكائنات“. لا تقوم دالة استدعاء الأذونات `get items permissions check()` في نقطة نهاية واجهة برمجة التطبيقات (API) `/kaliforms/v1/forms/{id}` إلا بالتحقق من صلاحية `edit posts`، دون التأكد من ملكية المستخدم أو تفويضه لمورد النموذج المحدد. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى بعرض بيانات تكوين النماذج الخاصة بمستخدمين آخرين، بما في ذلك المسؤولين، من خلال تحديد معرّفات النماذج. وتشمل البيانات المعرضة هياكل حقول النماذج، ومفاتيح Google reCAPTCHA السرية (إن تم تكوينها)، وقوالب إشعارات البريد الإلكتروني، ومسارات الخادم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Custom Block Builder – Lazy Blocks، الإصدارات الأقدم من 4.2.1 الوصف يحتوي المكون الإضافي Custom Block Builder – Lazy Blocks الخاص بـ WordPress على ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد. يمكن للمهاجم المصادق عليه الذي يتمتع بمستوى وصول «مساهم» أو أعلى تنفيذ تعليمات برمجية على الخادم من خلال وظائف متعددة داخل فئة `LazyBlocks Blocks`. التوصيات قم بتحديث المكون الإضافي Custom Block Builder – Lazy Blocks إلى الإصدار 4.2.1 أو أعلى.