ثغرة البرمجة النصية عبر المواقع المخزنة دون مصادقة في Optimole الإصدارات 4.2.18 وما يليها عبر محتوى التعليق

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تعد إضافة Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization لنظام ووردبريس معرضة لخطر ثغرة البرمجة النصية عبر المواقع المخزنة عبر معامل 'comment' في جميع الإصدارات حتى 4.2.18 ضمناً، وذلك بسبب عدم كفاية تعقيم المدخلات والهروب من المخرجات. هذا يجعل من الممكن للمهاجمين دون مصادقة حقن نصوص ويب عشوائية في الصفحات والتي ستنفذ كلما قام المستخدم بالوصول إلى صفحة محقونة. يتطلب الاستغلال الموافقة على التعليق من قبل المسؤول وأن يحتوي المنشور المتأثر على عنصر إطار متصل (iframe) أو فيديو واحد على الأقل، وهو ما يكفي في ظل إعدادات الإضافة الافتراضية حيث يتم تمكين التحميل البسيل للفيديو.

المعالجة

1. أحصِ جميع نشرات optimole Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Opti…، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://plugins.trac.wordpress.org/browser/optimole-wp/tags/4.2.17/inc/lazyload_replacer.php#L20
• مرجعhttps://plugins.trac.wordpress.org/browser/optimole-wp/tags/4.2.17/inc/manager.php#L550
• مرجعhttps://plugins.trac.wordpress.org/browser/optimole-wp/tags/4.2.17/inc/manager.php#L982
• مرجعhttps://plugins.trac.wordpress.org/browser/optimole-wp/tags/4.2.19
• مرجعhttps://www.wordfence.com/threat-intel/vulnerabilities/id/e71028cd-18bc-4b16-a376-db34b7212206?source=cve