CVE-2022-1329: Elementor Website Builder 3.6.0 - 3.6.2 - غياب التفويض يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد | Kitploit

CVE-2022-1329

عاليتم النشر

Elementor Website Builder 3.6.0 - 3.6.2 - غياب التفويض يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد

تم النشر: 19‏/04‏/2022
محدث: 07‏/02‏/2025
تخصيص CNA: Wordfence
الأدلة المرصودة: 07‏/08‏/2026

CVSS الأساسي

8.8/ 10عالي

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

92.7‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.8‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

المكوّن الإضافي Elementor Website Builder الخاص بـ WordPress معرّض لتنفيذ غير مصرح به للعديد من إجراءات AJAX بسبب غياب فحص الصلاحيات (capability check) في الملف ~/core/app/modules/onboarding/module.php، الأمر الذي يتيح للمهاجمين تعديل بيانات الموقع بالإضافة إلى رفع ملفات ضارة يمكن استخدامها للحصول على تنفيذ عن بُعد للأكواد (Remote Code Execution)، وذلك في الإصدارات من 3.6.0 إلى 3.6.2.

المصادر

CVE-2022-1329البحث
وثائق تعليمية لاستغلال CVE-2022-1329 في WordPress/Elementor واستخدام Dirty Pipe (CVE-2022-0847) لتصعيد الامتيازات على Ubuntu 20.04.
CVE-2022-1329-WordPress-Elementor-3.6.0-3.6.1-3.6.2-Remote-Code-Execution-Exploitاستغلال
استغلال لثغرة CVE-2022-1329، وهي ثغرة تنفيذ كود عن بُعد (RCE) في إضافة Elementor الخاصة بووردبريس، تتيح للمستخدمين المُصادَق عليهم رفع وتنفيذ ملفات PHP عشوائية عبر حمولات ZIP مُصمَّمة خصيصًا.
CVE-2022-1329استغلال

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.