CVE-2025-14755

إصدارات «Cost Calculator Builder» الأقدم من 4.0.2

هذا المكون الإضافي معرض لثغرة «التلاعب بالأسعار دون مصادقة» و«الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والتي تحدث عند استخدامه مع «Cost Calculator Builder PRO». تنشأ المشكلة لأن إجراء AJAX «ccb woocommerce payment» مسجل عبر wp ajax nopriv، مما يسمح بالوصول غير المصادق عليه. بالإضافة إلى ذلك، تقوم الدالة renderWooCommercePayment() بتمرير البيانات التي يتحكم فيها المستخدم إلى CCBWooCheckout::init() دون إجراء فحوصات المصادقة. وهذا يسمح للمهاجمين غير المصادق عليهم بإضافة منتجات WooCommerce إلى سلة التسوق الخاصة بهم بالأسعار التي يتحكمون فيها.

قم بالتحديث إلى إصدار أحدث من 4.0.1.

كحل مؤقت، قم بتقييد الوصول إلى إجراء AJAX «ccb woocommerce payment» على المستخدمين المصادق عليهم فقط.