PT-2026-60400 · WordPress · Multivendorx
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
MultiVendorX – إصدارات «WooCommerce Multivendor Marketplace AI Powered Solutions» الأقدم من 5.0.10
الوصف
توجد ثغرة أمنية تتمثل في عدم كفاية عملية «الهروب» (escaping) للمدخلات التي يقدمها المستخدم، بالإضافة إلى عدم إعداد الاستعلامات بشكل صحيح، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى بتنفيذ هجمات حقن SQL. يحدث ذلك عبر المعلمة
order by في نقطة نهاية المعاملات. يمكن للمهاجمين إضافة استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات. ويكون هذا الأمر قابلاً للاستغلال بشكل خاص عندما يتم تكوين إعداد الموافقة على المتاجر بحيث تتم الموافقة تلقائيًا على مالكي المتاجر، حيث يمكن لأي مستخدم مسجل الدخول التسجيل بنفسه كمالك متجر عبر نقطة نهاية REST العامة للمتاجر للحصول على الصلاحية اللازمة edit stores.التوصيات
قم بتحديث MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions إلى الإصدار 5.0.10 أو أحدث.
قم بتقييد استخدام المعلمة
order by في نقطة نهاية المعاملات كإجراء تخفيفي مؤقت.قم بتعطيل الموافقة التلقائية على مالكي المتاجر في إعدادات المكون الإضافي لمنع المستخدمين غير المصرح لهم من الحصول على صلاحية
edit stores.إصلاح
SQL injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Multivendorx