PT-2025-6510
CVE-2024-11895
·
تاريخ النشر
2025-02-17
·
تاريخ التحديث
2025-02-21
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Online Payments – Get Paid with PayPal, Square & Stripe» لـ WordPress، الإصدارات الأقدم من 3.20.0
الوصف
ترتبط الثغرة الأمنية بـ «التنفيذ البرمجي عبر المواقع المخزّن» (Stored XSS) عبر الرموز المختصرة (shortcodes) الخاصة بالمكوّن الإضافي، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في السمات التي يقدمها المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النص البرمجي فيها.
التوصيات
بالنسبة للإصدارات الأقدم من 3.20.0، قم بالتحديث إلى إصدار أعلى من 3.20.0 لإصلاح الثغرة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى الرموز المختصرة للمكوّن الإضافي لتقليل مخاطر الاستغلال. تجنب استخدام السمات التي يقدمها المستخدم في الرموز المختصرة حتى يتم إصلاح الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾