PT-2025-2190
CVE-2024-13496
·
تاريخ النشر
2025-01-21
·
تاريخ التحديث
2025-03-31
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
GamiPress – مكون إضافي للتلعيب يتيح منح النقاط والإنجازات والشارات والمستويات في WordPress، في الإصدارات حتى الإصدار 7.2.1 بما في ذلك
الوصف
تتعلق المشكلة بحقن SQL قائم على الوقت عبر المعلمة
orderby، وذلك بسبب عدم كفاية التهريب في المعلمة التي يقدمها المستخدم وعدم وجود إعداد مناسب في استعلام SQL الحالي. وهذا يتيح للمهاجمين غير المصادق عليهم إرفاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.التوصيات
بالنسبة للإصدارات حتى الإصدار 7.2.1 ضمناً، يُنصح بتعطيل المعلمة
orderby حتى يتوفر تصحيح لمنع استغلال هذه الثغرة. قم بتقييد الوصول إلى المعلومات الحساسة في قاعدة البيانات لتقليل مخاطر استخراج البيانات. تجنب استخدام المعلمة orderby في الاستعلامات الحالية حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾