PT-2025-2204
CVE-2024-13519
·
تاريخ النشر
2025-01-17
·
تاريخ التحديث
2025-01-18
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي The MarketKing — Ultimate WooCommerce Multivendor Marketplace Solution لـ WordPress، الإصدارات حتى الإصدار 1.9.80 بما في ذلك
الوصف
تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) من خلال إعدادات المكوّن الإضافي، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بأذونات على مستوى «مدير المتجر» (Shop Manager) أو أعلى بإدخال نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى إحدى الصفحات التي تم إدخال النص البرمجي فيها. تؤثر هذه المشكلة فقط على التثبيتات متعددة المواقع (multisite) والتثبيتات التي تم فيها تعطيل خيار unfiltered html.
التوصيات
بالنسبة للإصدارات حتى الإصدار 1.9.80 بما في ذلك، قم بالتحديث إلى إصدار يعالج مشكلة عدم كفاية تنقية المدخلات وتهريب المخرجات.
كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى إعدادات المكون الإضافي لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾