PT-2025-1653
CVE-2024-11396
·
تاريخ النشر
2025-01-13
·
تاريخ التحديث
2025-01-14
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Event Monster – مكون إضافي لإدارة الفعاليات وحجز التذاكر والفعاليات القادمة لـ WordPress، الإصدارات حتى الإصدار 1.4.3 بما في ذلك
الوصف
تتعلق المشكلة بتسرب المعلومات عبر ملف تصدير قائمة الزوار. أثناء عملية التصدير، يتم إنشاء ملف CSV في مجلد wp-content باسم ملف ثابت يمكن الوصول إليه علنًا. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج بيانات عن زوار الحدث، بما في ذلك الاسم الأول واسم العائلة والبريد الإلكتروني ورقم الهاتف.
التوصيات
بالنسبة للإصدارات حتى الإصدار 1.4.3 ضمناً، يُنصح بتعطيل ميزة «تصدير قائمة الزوار» حتى يتوفر تصحيح لمنع الوصول غير المصادق عليه إلى المعلومات الحساسة الخاصة بالزوار. قم بتقييد الوصول إلى مجلد wp-content لتقليل مخاطر الاستغلال. تجنب استخدام ملف CSV المتاح للجمهور لتخزين البيانات الحساسة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾