CVE-2024-13402

المكوّن الإضافي Buddyboss Platform لـ WordPress، الإصدارات حتى الإصدار 2.7.70 بما في ذلك

تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع المخزّن» (Cross-Site Scripting Armazenado) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات، وتحديدًا من خلال المعلمة link title. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» (Subscriber) أو أعلى بإدخال نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها عندما يصل المستخدم إلى صفحة تم إدخال النص البرمجي فيها.

بالنسبة للإصدارات حتى الإصدار 2.7.70 بما في ذلك، قم بالتحديث إلى إصدار يتضمن التصحيحات اللازمة لتنقية المدخلات وتهريب المخرجات لمنع هجمات «التنفيذ البرمجي عبر المواقع المخزنة» (Cross-Site Scripting Armazenado). كإجراء تجاوبي مؤقت، ضع في اعتبارك تقييد الوصول إلى المعلمة link title لتقليل مخاطر الاستغلال إلى أدنى حد.