PT-2025-1831
CVE-2024-12402
·
تاريخ النشر
2025-01-06
·
تاريخ التحديث
2025-01-12
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
المكوّن الإضافي «The Themes Coder – Create Android & iOS Apps For Your Woocommerce Site» لـ WordPress، حتى الإصدار 1.3.4 ضمناً
الوصف
تتعلق المشكلة بتصعيد الصلاحيات عن طريق الاستيلاء على الحساب، وذلك لأن المكون الإضافي لا يتحقق بشكل صحيح من هوية المستخدم قبل تحديث كلمة المرور الخاصة به عبر الدالة
update user profile(). وهذا يسمح للمهاجمين غير المصادق عليهم بتغيير كلمات مرور مستخدمين عشوائيين، بما في ذلك المسؤولين، والوصول إلى حساباتهم.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.3.4 ضمناً، قم بالتحديث إلى إصدار يتحقق بشكل صحيح من هوية المستخدم قبل السماح بتحديث كلمة المرور أو، كحل بديل مؤقت، ضع في اعتبارك تعطيل الدالة
update user profile() حتى يتوفر تصحيح. قم بتقييد الوصول إلى تحديثات ملف تعريف المستخدم لتقليل مخاطر الاستغلال. تجنب استخدام المكون الإضافي حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾