PT-2025-9621
CVE-2025-1306
·
تاريخ النشر
2025-03-03
·
تاريخ التحديث
2025-03-08
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
قالب Newscrunch لـ WordPress، الإصدارات حتى الإصدار 1.8.4 بما في ذلك
الوصف
ترتبط المشكلة بـ «التزوير بين المواقع» (CSRF) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة
newscrunch install and activate plugin(). وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية عبر طلب مزور، في حال تمكنوا من حث أحد مسؤولي الموقع على القيام بإجراء معين، مثل النقر على رابط.التوصيات
بالنسبة للإصدارات حتى الإصدار 1.8.4 بما في ذلك، يُنصح بتعطيل الدالة
newscrunch install and activate plugin() حتى يتوفر تصحيح لمنع استغلال الثغرة. قم بتقييد الوصول إلى وظيفة تحميل الملفات لتقليل مخاطر تحميل ملفات عشوائية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾