CVE-2021-34646
Booster for WooCommerce <= 5.4.3 تجاوز المصادقة
- تم النشر
- 30/08/2021
- محدث
- 05/05/2025
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 17/09/2021
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 98.9%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
الإصدارات حتى 5.4.3 ضمنًا من إضافة Booster for WooCommerce لـ WordPress معرّضة لثغرة تجاوز المصادقة عبر دالة process_email_verification، وذلك بسبب ضعف في توليد الرموز العشوائية في دالة reset_and_mail_activation_link الموجودة في الملف ~/includes/class-wcj-emails-verification.php. يتيح هذا للمهاجمين انتحال هوية المستخدمين وتفعيل التحقق من عنوان البريد الإلكتروني لأي حسابات، بما في ذلك الحسابات الإدارية، كما يسمح لهم بتسجيل الدخول تلقائيًا بصفة ذلك المستخدم، بما في ذلك أي من مدراء الموقع. يتطلب هذا أن تكون وحدة Email Verification مفعّلة في الإضافة، وأن يكون إعداد Login User After Successful Verification مفعّلًا، وهو مفعّل افتراضيًا.
المصادر
PoC لـ CVE-2021-34646
CVE-2021-34646 PoC
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.