PT-2025-9077
CVE-2024-9195
·
تاريخ النشر
2025-02-27
·
تاريخ التحديث
2025-03-11
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
المكوّن الإضافي WHMPress - WHMCS Client Area لـ WordPress، الإصدارات حتى الإصدار 4.3-revision-3 بما في ذلك
الوصف
تسمح هذه الثغرة بتعديل البيانات دون إذن، مما قد يؤدي إلى تصعيد الصلاحيات، وذلك بسبب عدم وجود تحقق من الأذونات في حالة
update settings في الملف ”/admin/ajax.php“. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتحديث إعدادات عشوائية في موقع WordPress، وهو ما يمكن استخدامه لتغيير وظيفة التسجيل الافتراضية إلى «المسؤول» وتمكين تسجيل المستخدمين، مما يتيح للمهاجمين الحصول على وصول إداري إلى موقع معرض للخطر.التوصيات
بالنسبة للإصدارات حتى الإصدار 4.3-revision-3 بما في ذلك، قم بالتحديث إلى إصدار يتضمن التحقق من الأذونات اللازم لمنع التعديل غير المصرح به للبيانات. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف ”/admin/ajax.php“ لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾