PT-2025-7388
CVE-2024-13753
·
تاريخ النشر
2025-02-19
·
تاريخ التحديث
2025-02-20
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي «Ultimate Classified Listings» لـ WordPress حتى الإصدار 1.4، بما في ذلك هذا الإصدار
الوصف
تتعلق المشكلة بـ «تزوير الطلبات عبر المواقع» (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
update profile. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل البريد الإلكتروني للضحية عبر طلب مزور، مما قد يؤدي إلى الاستيلاء على الحساب إذا تمكنوا من خداع المستخدم للقيام بإجراء مثل النقر على رابط.التوصيات
بالنسبة لمكوّن Ultimate Classified Listings الإضافي لـ WordPress حتى الإصدار 1.4 بما في ذلك:
كحل مؤقت، يُنصح بتعطيل وظيفة
update profile حتى يتوفر تصحيح.قم بتقييد الوصول إلى وظيفة تحديث الملف الشخصي في المكون الإضافي لتقليل مخاطر الاستغلال.
تجنب استخدام المكون الإضافي حتى يتم حل المشكلة بإصلاح مناسب.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾