PT-2025-10432 · WordPress · Wp-Recall
CVSS v3.1
6.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 بما في ذلك
الوصف
تتعلق المشكلة بالتنفيذ التعسفي للرموز المختصرة (shortcodes) بسبب عدم وجود تحقق من الأذونات في نقطة نهاية AJAX ”rcl preview post“. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المشترك“ أو أعلى بتنفيذ رموز مختصرة تعسفية.
التوصيات
بالنسبة للمكوّن الإضافي WP-Recall – Registration, Profile, Commerce & More لـ WordPress حتى الإصدار 16.26.10 بما في ذلك، يُنصح بتعطيل الوصول إلى نقطة نهاية AJAX ”rcl preview post“ حتى يتوفر تصحيح. كما أن تقييد تنفيذ الرموز القصيرة التعسفية قد يساعد في تقليل مخاطر الاستغلال.
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Wp-Recall