CVE-2022-25148

حرجةتم النشر

WP Statistics <= 13.1.5 حقن SQL أعمى بدون مصادقة عبر current_page_id

تم النشر: 24‏/02‏/2022
محدث: 03‏/08‏/2024
تخصيص CNA: Wordfence
الأدلة المرصودة: 04‏/09‏/2023

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

80.9‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.6‎%‎
تاريخ الموديل: 15‏/10‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

المكوّن الإضافي WP Statistics في ووردبريس عرضة لثغرة حقن SQL (SQL Injection) بسبب عدم كفاية تهريب ومعالجة بارامترية لمعامل current_page_id الموجود في الملف ~/includes/class-wp-statistics-hits.php، مما يسمح للمهاجمين غير المصادق عليهم بحقن استعلامات SQL عشوائية للحصول على معلومات حساسة، وذلك في الإصدارات حتى 13.1.5 وما يشمله.

المصادر

أدلة المستودعات: الملفات: 1 · المستودعات: 1

1 قالب

WordPress Plugin WP Statistics <= 13.1.5 - SQL Injectionقالب
http/cves/2022/CVE-2022-25148.yaml
Nuclei Templates
الكشفالأدلة المرصودة: 26‏/09‏/2026مراجعة: 17f5725dc10cأداة ذات صلة
الشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)

WP Statistics Plugin 13.1.5 current_page_id - Time based SQL injection (Unauthenticated)استغلال
psychoSherlock · php · 04‏/09‏/2023

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.