CVE-2018-3810: ثغرة تجاوز المصادقة في إضافة Oturia Smart Google Code Inserter قبل الإصدار 3.5 لـ WordPress تسمح للمهاجمين غير المصادَق عليهم بإدراج أكواد JavaScript أو HTML... | Kitploit

CVE-2018-3810

حرجةتم النشر

ثغرة تجاوز المصادقة في إضافة Oturia Smart Google Code Inserter قبل الإصدار 3.5 لـ WordPress تسمح للمهاجمين غير المصادَق عليهم بإدراج أكواد JavaScript أو HTML...

تم النشر: 01‏/01‏/2018
محدث: 05‏/08‏/2024
تخصيص CNA: mitre
الأدلة المرصودة: 03‏/01‏/2018

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.0

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

73.8‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.5‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

ثغرة تجاوز المصادقة في إضافة Oturia Smart Google Code Inserter قبل الإصدار 3.5 لـ WordPress تسمح للمهاجمين غير المصادَق عليهم بإدراج أكواد JavaScript أو HTML عشوائية (عبر معامل sgcgoogleanalytic) تُنفَّذ على جميع الصفحات التي يقدمها WordPress. الدالة saveGoogleCode() في ملف smartgooglecode.php لا تتحقق مما إذا كان الطلب الحالي صادرًا عن مستخدم مصرح له، مما يسمح لأي مستخدم غير مصادَق عليه بتحديث الكود المُدرج بنجاح.

المصادر

cve-2018-3810البحث
حاوية Docker توفر بيئة ضعيفة لـ CVE-2018-3810، مصممة للاختبار الأمني وممارسة الاستغلال التعليمي داخل حاويات معزولة.
CVE-2018-3810PoC
استغلال إثبات المفهوم لثغرة CVE-2018-3810، يستهدف ثغرة أمنية محددة في تطبيق ويب لتوضيح تقنيات الاستغلال.
CVE-2018-3810_exploitاستغلال
استغلال لـ CVE-2018-3810

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.