CVE-2024-10924
Really Simple Security (Free, Pro, and Pro Multisite) 9.0.0 - 9.1.1.1 - تجاوز المصادقة
- تم النشر
- 15/11/2024
- محدث
- 23/01/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 15/04/2025
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.7%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تُعد إضافات Really Simple Security (الإصدارات Free وPro وPro Multisite) الخاصة بـ WordPress عرضة لتجاوز المصادقة في الإصدارات من 9.0.0 إلى 9.1.1.1. ويعود السبب إلى معالجة غير سليمة لأخطاء التحقق من المستخدم في إجراءات REST API الخاصة بالمصادقة الثنائية عبر دالة 'check_login_and_get_user'. وهذا يتيح للمهاجمين غير المصادَق عليهم تسجيل الدخول باسم أي مستخدم موجود على الموقع، مثل مدير، عندما يكون إعداد "المصادقة الثنائية" مفعّلاً (معطَّل افتراضيًا).
المصادر
modules/exploits/multi/http/wp_reallysimplessl_2fa_bypass_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,PHP,Unix,Windows($.exploit_multi/http/wp_reallysimplessl_2fa_bypass_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_reallysimplessl_2fa_bypass_rce.check)
http/cves/2024/CVE-2024-10924.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.