PT-2026-79312 · WordPress · Advanced Country Code+1
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
منصة Automation Web Platform – الإشعارات ورمز OTP لـ WooCommerce، والمكوّن الإضافي Advanced Country Code لـ WordPress للإصدارات الأقدم من 4.8.7
الوصف
يوجد ثغرة في عملية المصادقة لأن الدالة
handle email otp return() تُرجع رمز دخول سريًا (magic login token) مباشرةً في استجابة طلب OTP متاح للجمهور بدلاً من إرساله حصريًّا إلى البريد الإلكتروني للمستخدم. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى أي حساب، بما في ذلك حسابات المسؤولين، شريطة أن يعرفوا عنوان البريد الإلكتروني للمستخدم المستهدف.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.8.6.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة
handle email otp return().إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Advanced Country Code
Notifications/Otp For Woocommerce