PT-2025-10407
CVE-2024-11640
·
تاريخ النشر
2025-03-07
·
تاريخ التحديث
2025-03-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي VikRentCar Car Rental Management System لـ WordPress، الإصدارات حتى 1.4.2 ضمناً
الوصف
تحدث المشكلة بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
save، مما يتيح للمهاجمين غير المصادق عليهم تغيير امتيازات الوصول إلى المكون الإضافي من خلال طلب مزور. ويمكن القيام بذلك عن طريق حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط. يتيح الاستغلال الناجح للمهاجمين الذين يتمتعون بامتيازات على مستوى المشترك أو أعلى تحميل ملفات عشوائية على خادم الموقع المتأثر، مما قد يتيح تنفيذ التعليمات البرمجية عن بُعد.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.4.2 ضمناً، يُنصح بتعطيل وظيفة
save حتى يتوفر تصحيح لمنع الاستغلال. قم بتقييد الوصول إلى وظائف المكون الإضافي لتقليل مخاطر قيام المهاجمين بتحميل ملفات عشوائية. تجنب استخدام المكون الإضافي حتى يتم إصدار نسخة مصححة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾