CVE-2025-7052

المكوّن الإضافي LatePoint لـ WordPress حتى الإصدار 5.1.94

البرنامج معرض لخطر تزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم التحقق من صحة الرقم العشوائي (nonce). ويحدث ذلك في الدالة change password() ضمن مسار AJAX customer cabinet change password. يستخدم المكون الإضافي الخطافات wp ajax وwp ajax nopriv لهذه النقطة النهائية دون التحقق من رقم nonce أو صلاحيات المستخدم قبل السماح بإعادة تعيين كلمة المرور. وهذا يتيح للمهاجمين غير المصادق عليهم إمكانية الاستيلاء على الحسابات عن طريق حث العملاء المسجلين الدخول، أو المسؤولين الذين تم تفعيل خيار «WP users as customers» لديهم، على زيارة رابط ضار.

قم بتحديث المكون الإضافي LatePoint إلى إصدار أحدث من 5.1.94.