PT-2025-18243
CVE-2025-2890
·
تاريخ النشر
2025-04-29
·
تاريخ التحديث
2025-04-30
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي tagDiv Opt-In Builder لـ WordPress، الإصدارات حتى 1.7 ضمناً
الوصف
تتعلق المشكلة بحقن SQL قائم على الوقت عبر المعلمة
subscriptionCouponId، وذلك بسبب الهروب غير المناسب في المعلمة التي يقدمها المستخدم وعدم الإعداد المناسب في استعلام SQL الحالي. وهذا يتيح للمهاجمين المصادق عليهم، الذين يتمتعون بوصول على مستوى المشترك (Subscriber) أو أعلى، إرفاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.7 ضمناً، يُنصح بتعطيل المعلمة
subscriptionCouponId حتى يتوفر تصحيح لمنع استغلال هذه الثغرة. قم بتقييد الوصول إلى استعلامات SQL لتقليل مخاطر استخراج المعلومات الحساسة. تجنب استخدام المعلمة subscriptionCouponId في الاستعلامات الحالية حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾