PT-2025-11675
CVE-2024-13933
·
تاريخ النشر
2025-03-18
·
تاريخ التحديث
2025-03-19
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
FoodBakery | سمة WordPress «Delivery Restaurant Directory» حتى الإصدار 4.7
الوصف
تتعلق المشكلة بـ «التزوير بين المواقع (CSRF)» بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في عدة وظائف، بما في ذلك
foodbakery var backup file delete، foodbakery widget file delete، وtheme option save، وexport widget settings، وajax import widget data، وfoodbakery var settings backup generate، وfoodbakery var backup file restore، وtheme option rest all. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ العديد من الإجراءات، مثل حذف ملفات عشوائية، وتحديث خيارات السمة، وتصدير واستيراد خيارات عناصر واجهة المستخدم، وإنشاء النسخ الاحتياطية واستعادتها، وإعادة تعيين خيارات السمة، وذلك عن طريق حث أحد مسؤولي الموقع على تنفيذ إجراء ما.التوصيات
بالنسبة لـ FoodBakery | سمة WordPress Delivery Restaurant Directory حتى الإصدار 4.7، قم بالتحديث إلى إصدار يتضمن التحقق من صحة الرقم العشوائي (nonce) اللازم لمنع هجمات التزوير بين المواقع (CSRF).
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الوظائف المعرضة للثغرة، مثل
foodbakery var backup file delete، foodbakery widget file delete، وtheme option save، وexport widget settings، وajax import widget data، وfoodbakery var settings backup generate، وfoodbakery var backup file restore، وtheme option rest all، حتى يتوفر تصحيح لهذا الخلل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾