PT-2025-6604
CVE-2024-13735
·
تاريخ النشر
2025-02-13
·
تاريخ التحديث
2025-02-25
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
HurryTimer – مكون إضافي للعد التنازلي الذي يعكس الندرة والإلحاح لـ WordPress و WooCommerce، الإصدارات حتى الإصدار 2.11.2 بما في ذلك
الوصف
تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المخزّن، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لـ «اسم الحملة». وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى صفحة تم حقنها.
التوصيات
بالنسبة للإصدارات حتى الإصدار 2.11.2 ضمناً، قم بالتحديث إلى إصدار يعمل على تصحيح عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لـ «اسم الحملة».
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى حقل إدخال اسم الحملة لمنع المهاجمين المصادق عليهم من إدخال نصوص برمجية ويب تعسفية.
قم بتقييد الوصول على مستوى «المساهم» أو أعلى لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾