CVE-2024-5932: GiveWP – إضافة التبرعات ومنصة جمع التبرعات <= 3.14.1 - حقن كائنات PHP غير مُصادَق عليه إلى تنفيذ تعليمات برمجية عن بُعد | Kitploit

CVE-2024-5932

حرجةتم النشر

GiveWP – إضافة التبرعات ومنصة جمع التبرعات <= 3.14.1 - حقن كائنات PHP غير مُصادَق عليه إلى تنفيذ تعليمات برمجية عن بُعد

تم النشر: 20‏/08‏/2024
محدث: 08‏/04‏/2026
تخصيص CNA: Wordfence
الأدلة المرصودة: 06‏/08‏/2026

CVSS الأساسي

10.0/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

تقدير احتمالية EPSS

76.8‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.5‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

المكوّن الإضافي لـ WordPress المسمّى GiveWP – Donation Plugin and Fundraising Platform معرّض لثغرة حقن كائنات PHP (PHP Object Injection) في جميع الإصدارات حتى الإصدار 3.14.1 وما يشمله، وذلك عبر إلغاء تسلسل (deserialization) مدخلات غير موثوقة من المعامل 'give_title'. وهذا يتيح للمهاجمين غير المصادَق عليهم حقن كائن PHP. كما أن وجود سلسلة POP (POP chain) إضافية يتيح للمهاجمين تنفيذ التعليمات البرمجية عن بُعد، وحذف ملفات تعسفية.

المصادر

CVE-2024-5932استغلال
استغلال ثغرة حقن كائن PHP في GiveWP
CVE-2024-5932PoC
استغلال لإثبات المفهوم لـ CVE-2024-5932، وهو ثغرة حقن كائن PHP في إضافة GiveWP لووردبريس، مما يتيح تنفيذ كود عن بعد غير مصادق عليه وحذف ملفات عشوائية عبر سلسلة POP.
CVE-2024-5932PoC
إثبات المفهوم لـ CVE-2024-5932.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.