PT-2025-9076
CVE-2024-9193
·
تاريخ النشر
2025-02-27
·
تاريخ التحديث
2025-03-25
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي WHMpress - WHMCS WordPress Integration، الإصدارات حتى الإصدار 6.3-revision-0 بما في ذلك
الوصف
تسمح هذه الثغرة للمهاجمين غير المصادق عليهم بإدراج ملفات عشوائية وتنفيذها على الخادم عبر الدالة
whmpress domain search ajax extended results()، مما يتيح تنفيذ أي كود PHP في هذه الملفات. ويمكن استغلال ذلك لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تنفيذ التعليمات البرمجية. يمكن للمهاجمين تحديث خيارات عشوائية في موقع WordPress، باستخدام الملف ”/admin/services.php“ لتغيير وظيفة التسجيل الافتراضية إلى «المسؤول» وتمكين تسجيل المستخدمين، وبالتالي الحصول على وصول إداري إلى موقع معرض للخطر.التوصيات
بالنسبة للإصدارات حتى الإصدار 6.3-revision-0 بما في ذلك، كإجراء تجاوبي مؤقت، يُنصح بتعطيل الدالة
whmpress domain search ajax extended results() حتى يتوفر تصحيح. قم بتقييد الوصول إلى الملف ”/admin/services.php“ لتقليل مخاطر الاستغلال. تجنب استخدام هذا المكون الإضافي حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾