PT-2025-7476
CVE-2025-0916
·
تاريخ النشر
2025-02-18
·
تاريخ التحديث
2025-03-06
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي YaySMTP and Email Logs: Amazon SES، SendGrid، Outlook، Mailgun، Brevo، Google وأي خدمة SMTP لـ WordPress، الإصدارات من 2.4.9 إلى 2.6.2
الوصف
تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها. تم إصلاح هذه الثغرة الأمنية في البداية في الإصدار 2.4.8، ولكنها عادت للظهور في الإصدار 2.4.9 مع إزالة وظيفة التنقية الأصلية في WordPress
wp kses post().التوصيات
بالنسبة للإصدارات من 2.4.9 إلى 2.6.2، قم بالتحديث إلى إصدار يتضمن الدالة
wp kses post() لضمان التنقية المناسبة للمدخلات والهروب المناسب للمخرجات. كحل مؤقت، ضع في اعتبارك تعطيل المكون الإضافي المعرض للثغرة حتى يتوفر تصحيح. قم بتقييد الوصول إلى وظائف المكون الإضافي لتقليل مخاطر الاستغلال. تجنب استخدام ميزات المكون الإضافي التي تسمح بإدخال بيانات من المستخدم حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾