CVE-2024-8522: LearnPress – إضافة WordPress LMS <= 4.2.7 - حقن SQL بدون مصادقة عبر 'c_only_fields' | Kitploit

CVE-2024-8522

حرجةتم النشر

LearnPress – إضافة WordPress LMS <= 4.2.7 - حقن SQL بدون مصادقة عبر 'c_only_fields'

تم النشر: 12‏/09‏/2024
محدث: 08‏/04‏/2026
تخصيص CNA: Wordfence
الأدلة المرصودة: 11‏/04‏/2025

CVSS الأساسي

10.0/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

تقدير احتمالية EPSS

62.9‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.2‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

إضافة LearnPress – WordPress LMS Plugin الخاصة بمنصة WordPress معرضة لثغرة حقن SQL (SQL Injection) عبر معامل 'c_only_fields' في نقطة نهاية REST API للمسار /wp-json/learnpress/v1/courses في جميع الإصدارات حتى الإصدار 4.2.7 وما يتضمنه، وذلك بسبب عدم كفاية تهريب (escaping) المعامل المقدم من المستخدم وعدم الإعداد الكافي لاستعلام SQL الموجود. وهذا يتيح للمهاجمين غير المصادَق عليهم إلحاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.

المصادر

CVE-2024-8522PoC
LearnPress – إضافة LMS لـ WordPress <= 4.2.7 - حقن SQL بدون مصادقة عبر 'c_only_fields'
LearnPress WordPress LMS Plugin 4.2.7 - SQL Injectionاستغلال
Francisco Moraga (BTshell) · php · 11‏/04‏/2025

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.