CVE-2025-5692

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

المكوّن الإضافي «Lead Form Data Collection to CRM» لـ WordPress، الإصدارات حتى الإصدار 3.1 بما في ذلك

الوصف:

تسمح هذه الثغرة بتعديل البيانات دون إذن، مما يؤدي إلى تصعيد الصلاحيات بسبب عدم وجود فحص للصلاحيات في الدالة doFieldAjaxAction(). وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتحديث خيارات عشوائية في موقع WordPress، مما قد يؤدي إلى تغيير وظيفة التسجيل الافتراضية إلى «المسؤول» وتمكين تسجيل المستخدمين بحيث يحصل المهاجمون على وصول المستخدم الإداري.

التوصيات:

بالنسبة للإصدارات حتى الإصدار 3.1 بما في ذلك، قم بالتحديث إلى إصدار يتضمن تصحيحًا لعدم وجود التحقق من الصلاحيات في الدالة doFieldAjaxAction().

كإجراء احترازي مؤقت، ضع في اعتبارك تعطيل الدالة doFieldAjaxAction() حتى يتوفر تصحيح.

قم بتقييد الوصول إلى إجراءات AJAX التي تتعامل مع إعدادات المكون الإضافي لتقليل مخاطر الاستغلال.