PT-2026-41280
CVE-2026-8425
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-05-15
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Notify Odoo السابقة للإصدار 1.0.2
الوصف
يحتوي المكون الإضافي Notify Odoo الخاص بـ WordPress على ثغرة أمنية من نوع تزوير الطلبات عبر المواقع (CSRF). وتحدث هذه الثغرة لأن الدالة
updateSettings() تفتقر إلى التحقق الصحيح من صحة الرقم العشوائي (nonce). الرقم العشوائي (nonce) هو رمز فريد يُستخدم للتحقق من أن الطلب قد أُرسل عن قصد من قبل المستخدم. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم خداع مسؤول الموقع للنقر على رابط لتنفيذ طلب مزور. وهذا يسمح للمهاجم بتغيير عنوان URL الخاص بـ Notify Odoo إلى عنوان يسيطر عليه وتعديل الإعدادات المتعلقة بالإشعارات، وصور التتبع، وعناوين IP المسموح بها.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.1.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
updateSettings() لتقليل مخاطر الاستغلال إلى أدنى حد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾