PT-2025-1815
CVE-2024-12322
·
تاريخ النشر
2025-01-06
·
تاريخ التحديث
2025-01-12
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Widget الخاص بموقع ThePerfectWedding.nl لـ WordPress، الإصدارات حتى 2.8، بما في ذلك
الوصف
ترتبط المشكلة بـ «تزوير الطلبات بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
update option. وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث الخيار tpwKey باستخدام «التنفيذ البرمجي عبر المواقع» (XSS) المخزن من خلال طلب مزور، شريطة أن يتمكنوا من خداع أحد مسؤولي الموقع للقيام بإجراء ما، مثل النقر على رابط.التوصيات
بالنسبة للإصدارات حتى الإصدار 2.8، ضمناً، يُنصح بتعطيل الدالة
update option حتى يتوفر تصحيح لمنع استغلال هذه الثغرة. قم بتقييد الوصول إلى الخيار tpwKey لتقليل مخاطر هجمات البرمجة النصية عبر المواقع المخزنة. تجنب استخدام الدالة update option مع الخيار tpwKey حتى يتم حل المشكلة. لا توجد حاليًا أي معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾