كل الثغرات
—
عالية
CVSS 7.4
ثغرات متعددة في إضافة Automatic YouTube Gallery
| المورّد | Plugins360 Labs |
|---|---|
| المنتج | Automatic YouTube Gallery |
| النسخ المتأثرة | < 2.9.0 |
| تاريخ الإبلاغ | 2026-08-10 |
| تاريخ الإفصاح | 2026-08-10 |
| الحالة | أصلحها المورّد |
اكتشفتُ وأبلغتُ بمسؤولية عن عدة ثغرات أمنية في إضافة ووردبريس "Automatic YouTube Gallery" من تطوير Plugins360 Labs.
شملت المشاكل المبلَّغ عنها:
• ثغرات تتيح التلاعب بالمعرض دون مصادقة.
• استنزاف حصة واجهة YouTube البرمجية.
• ضعف في التحقق من رمز تقسيم الصفحات.
• ثغرات حقن عبر معاملات الروابط.
• ضعف في معالجة بيانات الصور المصغَّرة.
أقرّ المورّد بكل النتائج وأصلحها في الإصدار 2.9.0، وذكر اسمي رسمياً في سجل تغييرات الإضافة تقديراً للإفصاح المسؤول.
شملت المشاكل المبلَّغ عنها:
• ثغرات تتيح التلاعب بالمعرض دون مصادقة.
• استنزاف حصة واجهة YouTube البرمجية.
• ضعف في التحقق من رمز تقسيم الصفحات.
• ثغرات حقن عبر معاملات الروابط.
• ضعف في معالجة بيانات الصور المصغَّرة.
أقرّ المورّد بكل النتائج وأصلحها في الإصدار 2.9.0، وذكر اسمي رسمياً في سجل تغييرات الإضافة تقديراً للإفصاح المسؤول.
إفصاحات ذات صلة
متوسطة
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
عرض الكل