PT-2025-13405
CVE-2025-28253
·
تاريخ النشر
2025-03-27
·
تاريخ التحديث
2025-03-29
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
MainWP Dashboard الإصدار 5.3.4
الوصف
توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) في MainWP Dashboard، وتحديدًا في الملف
class/class-mainwp-post-handler.php. تنشأ المشكلة بسبب إدخال المستخدم غير المُعقَّم الوارد من $ POST[’sites‘] و$ POST[’clients‘] و$ POST[’search‘] الذي يتم تمريره إلى الدالة MainWP User::render table. على الرغم من استخدام sanitize text field وwp unslash، فإن القيم ليست محمية بشكل كافٍ ضد حقن HTML أو البرامج النصية، مما يسمح للمهاجم بحقن برامج نصية ضارة.التوصيات
بالنسبة إلى MainWP Dashboard الإصدار 5.3.4، يُنصح بتعطيل الدالة
MainWP User::render table أو تقييد استخدام الملف class/class-mainwp-post-handler.php حتى يتوفر تصحيح. بالإضافة إلى ذلك، تجنب استخدام المعلمات $ POST[’sites‘] و$ POST[’clients‘] و$ POST[’search‘] في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾