PT-2025-39956 · WordPress · Latepoint
CVSS v3.1
8.2
عالية
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي LatePoint لـ WordPress حتى الإصدار 5.1.94
الوصف
يحتوي المكوّن الإضافي LatePoint لـ WordPress على ثغرة تسمح بالتحايل على عملية المصادقة. ويرجع ذلك إلى عدم كفاية التحقق من الهوية داخل المسار
steps load step لنقطة نهاية واجهة برمجة التطبيقات (API) latepoint route call. تقوم نقطة النهاية بمعالجة البريد الإلكتروني للعميل والحقول ذات الصلة التي يقدمها العميل قبل استدعاء معالج تسجيل الدخول الداخلي دون التحقق من حالة تسجيل الدخول أو عمليات التحقق من الصلاحية أو وجود رقم عشوائي AJAX صالح. وهذا يسمح للمهاجمين غير المصادق عليهم بتسجيل الدخول إلى حساب أي عميل. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للثغرة هي /latepoint route call. والمعلمة المعرضة للثغرة هي customer email.التوصيات
قم بتحديث المكون الإضافي LatePoint إلى إصدار أحدث من 5.1.94.
إصلاح
Authentication Bypass Using an Alternate Path or Channel
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Latepoint