PT-2025-2130
CVE-2024-13355
·
تاريخ النشر
2025-01-15
·
تاريخ التحديث
2025-01-16
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Admin and Customer Messages After Order for WooCommerce: المكون الإضافي OrderConvo لـ WordPress، الإصدارات حتى الإصدار 13.2 بما في ذلك
الوصف
تتعلق المشكلة بعدم كفاية التحقق من نوع الملف في الدالة
upload file()، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى بتحميل الملفات على خادم الموقع المتأثر. وقد يؤدي ذلك إلى إمكانية تنفيذ التعليمات البرمجية عن بُعد، وقد تم التأكيد على أنه يتيح إمكانية «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting).التوصيات
بالنسبة للإصدارات حتى الإصدار 13.2 ضمناً، قم بالتحديث إلى إصدار يتضمن تصحيحاً لعدم كفاية التحقق من نوع الملف في الدالة
upload file().كإجراء مؤقت، ضع في اعتبارك تعطيل الدالة
upload file() حتى يتوفر تصحيح.قم بتقييد الوصول إلى ميزة تحميل الملفات لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾