PT-2025-6498
CVE-2024-10581
·
تاريخ النشر
2025-02-14
·
تاريخ التحديث
2025-02-24
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي DirectoryPress Frontend لـ WordPress حتى الإصدار 2.7.9 بما في ذلك
الوصف
تعود المشكلة إلى عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
dpfl listingStatusChange()، مما يتيح للمهاجمين غير المصادق عليهم تحديث حالة القوائم عبر طلب مزور. وقد يحدث ذلك إذا تمكن المهاجم من حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط.التوصيات
بالنسبة للإصدارات حتى الإصدار 2.7.9 ضمناً، يُنصح بتعطيل الدالة
dpfl listingStatusChange() إلى أن يتوفر تصحيح لمنع استغلال الثغرة. قم بتقييد الوصول إلى وظائف المكون الإضافي لتقليل مخاطر التحديثات غير المصرح بها لحالة القوائم. تجنب استخدام المكون الإضافي حتى يتم حل المشكلة في إصدار أحدث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾