PT-2025-11242
CVE-2024-13913
·
تاريخ النشر
2025-03-13
·
تاريخ التحديث
2025-03-19
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
InstaWP Connect – مكون إضافي لـ WordPress يتيح إجراء عمليات الاختبار والترحيل بنقرة واحدة، الإصدارات حتى 0.1.0.83 ضمناً
الوصف:
تحدث المشكلة بسبب عدم وجود التحقق من صحة nonce أو وجوده بشكل غير صحيح في الملف ’/migrate/templates/main.php‘، مما يتيح للمهاجمين غير المصادق عليهم إدراج ملفات عشوائية وتنفيذها على الخادم. وهذا يسمح بتنفيذ أي كود PHP في هذه الملفات، وهو ما يمكن استخدامه للتحايل على ضوابط الوصول، أو الحصول على بيانات حساسة، أو الوصول إلى تنفيذ الكود في الحالات التي يمكن فيها تحميل وإدراج الصور وأنواع أخرى من الملفات «الآمنة».
التوصيات:
بالنسبة للإصدارات حتى الإصدار 0.1.0.83 ضمناً، قم بالتحديث إلى إصدار يتضمن التحقق من صحة الرقم العشوائي (nonce) بشكل مناسب لمنع هجمات التزوير بين المواقع (CSRF).
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف ’/migrate/templates/main.php‘ لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾