PT-2025-12780
CVE-2025-2319
·
تاريخ النشر
2025-03-24
·
تاريخ التحديث
2025-03-30
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
أداة «EZ SQL Reports Shortcode Widget» والمكوّن الإضافي «DB Backup» لـ WordPress، من الإصدار 4.11.13 حتى 5.25.08
الوصف
تتعلق المشكلة بتزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
ELISQLREPORTS menu. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية على الخادم عبر طلب مزور إذا تمكنوا من خداع مسؤول الموقع لإجراء إجراء ما. ومع ذلك، في الإصدار 5.25.10، تمت إضافة فحص الرقم العشوائي، مما يحد من إمكانية الاستغلال ليقتصر على المسؤولين فقط.التوصيات
بالنسبة للإصدارات من 4.11.13 إلى 5.25.08، قم بالترقية إلى الإصدار 5.25.10 لإضافة فحص الرقم العشوائي (nonce) والحد من إمكانية استغلال الثغرة الأمنية.
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الدالة
ELISQLREPORTS menu حتى يتم تطبيق الترقية إلى الإصدار 5.25.10. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾