CVE-2020-25213: ثغرة تنفيذ كود عن بُعد في إضافة File Manager الخاصة بـ WordPress | Kitploit

CVE-2020-25213

حرجةتم النشر

ثغرة تنفيذ كود عن بُعد في إضافة File Manager الخاصة بـ WordPress

تم النشر: 09‏/09‏/2020
محدث: 21‏/10‏/2025
تخصيص CNA: mitre
الأدلة المرصودة: 02‏/12‏/2020

CVSS الأساسي

10.0/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

تقدير احتمالية EPSS

97.3‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.9‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

CISA معروف باستغلاله

يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.

ملخص

يسمح المكوّن الإضافي File Manager (wp-file-manager) قبل الإصدار 6.9 لـ WordPress للمهاجمين عن بُعد برفع وتنفيذ كود PHP عشوائي، لأنه يعيد تسمية ملف موصل elFinder تجريبي غير آمن ليصبح بامتداد .php. وهذا، على سبيل المثال، يتيح للمهاجمين تشغيل أمر upload (أو mkfile و put) الخاص بـ elFinder لكتابة كود PHP داخل الدليل wp-content/plugins/wp-file-manager/lib/files/. وقد استُغلت هذه الثغرة في البرية في أغسطس وسبتمبر 2020.

المصادر

wordpress-rce-vapt-cve-2020-25213PoC
مشروع تعليمي في مجال الأمن السيبراني يوضح استغلال وتخفيف أثر الثغرة CVE-2020-25213 (تنفيذ الأوامر عن بُعد في إضافة WordPress File Manager). يشمل محاكاة البرمجيات الخبيثة، وتحليل VAPT، وتنفيذ تصحيح أمني في بيئة مختبرية خاضعة للتحكم.
Python-exploit-CVE-2020-25213استغلال
استغلال Python لـ RCE في ووردبريس
Wordpress-CVE-2020-25213استغلال

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.