PT-2025-6545
CVE-2024-13438
·
تاريخ النشر
2025-02-17
·
تاريخ التحديث
2025-02-18
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
المكوّن الإضافي SpeedSize Image & Video AI-Optimizer لـ WordPress، الإصدارات حتى الإصدار 1.5.1 بما في ذلك
الوصف
تعود المشكلة إلى عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
speedsize clear css cache action، مما يتيح للمهاجمين غير المصادق عليهم مسح ذاكرة التخزين المؤقتة للمكوّن الإضافي من خلال طلب مزور. ويمكن تحقيق ذلك إذا تمكن المهاجمون من خداع أحد مسؤولي الموقع للقيام بإجراء ما، مثل النقر على رابط.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.5.1 ضمناً، يُنصح بتعطيل الدالة
speedsize clear css cache action حتى يتوفر تصحيح لمنع استغلال هذه الثغرة. قم بتقييد الوصول إلى وظيفة إدارة ذاكرة التخزين المؤقت للمكوّن الإضافي لتقليل مخاطر مسح ذاكرة التخزين المؤقت من قبل جهات غير مصرح لها. تجنب استخدام المكون الإضافي حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾