PT-2026-57398 · WordPress · Ai Chatbot & Workflow Automation
CVSS v3.1
5.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AI Chatbot & Workflow Automation من AIWU، الإصدارات الأقدم من 1.4.13
الوصف
يحتوي المكون الإضافي على ثغرة في عملية التفويض ناتجة عن عدم وجود فحوصات للصلاحيات والتحقق من الرمز العشوائي (nonce) في إجراءات AJAX المسجلة تحت خطافات
wp ajax وwp ajax nopriv . يحدث هذا لأن دالة getPermissions() الخاصة بوحدة التحكم الأساسية تُرجع مصفوفة فارغة، ولأن طريقتي removeGroup وclear غير مدرجتين في getNoncedMethods()، مما يتسبب في أن بوابة التفويض تسمح بهذه الإجراءات دون قيد أو شرط. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم حذف سجلات محددة حسب المعرف أو مسح جميع السجلات من جدول قاعدة بيانات أي وحدة.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.4.12.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالتين
removeGroup وclear.إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Ai Chatbot & Workflow Automation