CVE-2024-13799

المكوّن الإضافي User Private Files – File Upload & Download Manager with Secure File Sharing لـ WordPress في الإصدارات حتى الإصدار 2.1.3، بما في ذلك هذا الإصدار

تتعلق المشكلة بثغرة «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المخزنة عبر المعلمة new-fldr-name، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها.

بالنسبة للإصدارات حتى الإصدار 2.1.3 ضمناً، قم بالتحديث إلى إصدار أعلى من 2.1.3 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى المعلمة new-fldr-name لتقليل مخاطر الاستغلال إلى أدنى حد.