PT-2025-9054
CVE-2025-0801
·
تاريخ النشر
2025-02-27
·
تاريخ التحديث
2025-02-28
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي الرسمي RateMyAgent لـ WordPress حتى الإصدار 1.4.0 بما في ذلك
الوصف
تتعلق المشكلة بـ «تزوير الطلبات بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في «rma-settings-wizard». وهذا يسمح للمهاجمين غير المصادق عليهم بتحديث مفتاح واجهة برمجة التطبيقات (API) الخاص بالمكوّن الإضافي من خلال طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على تنفيذ إجراء معين.
التوصيات
بالنسبة للإصدارات حتى الإصدار 1.4.0 ضمناً، قم بالتحديث إلى إصدار يتضمن التحقق الصحيح من الرقم العشوائي (nonce) لمنع هجمات تزوير الطلبات بين المواقع. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى «rma-settings-wizard» لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾