CVE-2025-12137
استيراد WP – تصدير واستيراد ملفات CSV وXML إلى ووردبريس <= 2.14.16 - قراءة ملفات تعسفية (مصادق عليه - مسؤول+)
- تم النشر
- 01/11/2025
- محدث
- 08/04/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 39.4%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
الملحق Import WP – Export and Import CSV and XML files to WordPress الخاص بووردبريس عرضة لقراءة ملفات تعسفية في جميع الإصدارات حتى الإصدار 2.14.16 وما يشمله. ويعود السبب في ذلك إلى أن نقطة نهاية REST API الخاصة بالملحق تقبل مسارات ملفات مطلقة تعسفية دون تحقق مناسب في دالة 'attach_file()' عند معالجة إجراءات 'file_local'. وهذا يتيح للمهاجمين المصادق عليهم، ممن لديهم صلاحيات مستوى المسؤول وما فوق، قراءة ملفات تعسفية على نظام ملفات الخادم، بما في ذلك ملفات الإعدادات الحساسة وملفات النظام عبر معامل 'local_url'.
المصادر
استغلال إثبات المفهوم لـ CVE-2025-12137 يوضح كشف الملفات المحلية عبر نقطة نهاية REST API الخاصة بمستورد إضافة WordPress. يتضمن كود JavaScript خطوة بخطوة لإرفاق ومعالجة ومعاينة ملفات الخادم العشوائية.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.