PT-2026-43547 · Livemesh+1 · Livemesh Wpbakery Page Builder Addons+1
CVSS v3.1
6.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إضافات WPBakery Page Builder من Livemesh، الإصدارات الأقدم من 3.9.5
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر إجراء AJAX المسمى
lvca admin ajax، وذلك بسبب عدم وجود فحوصات للتفويض وعدم كفاية عملية تنقية المدخلات. ورغم أن معالج AJAX يتحقق من رقم العشوائي (nonce)، إلا أنه يفشل في التحقق من صلاحيات المستخدم. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي وإدخال نصوص برمجية ضارة. يتم تنفيذ هذه النصوص البرمجية عندما يصل المسؤولون إلى صفحة إعدادات المكون الإضافي أو عندما يزور أي مستخدم الواجهة الأمامية.التوصيات
قم بتحديث ملحقات WPBakery Page Builder من Livemesh إلى الإصدار 3.9.5 أو أحدث.
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Livemesh Wpbakery Page Builder Addons
Addons-For-Visual-Composer