CVE-2025-2294
Kubio AI Page Builder <= 2.5.1 - تضمين ملف محلي بدون مصادقة
- تم النشر
- 28/03/2025
- محدث
- 08/04/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 05/04/2025
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إن إضافة Kubio AI Page Builder لـ WordPress معرّضة لثغرة تضمين الملفات المحلية (Local File Inclusion) في جميع الإصدارات حتى 2.5.1 ضمنًا عبر دالة kubio_hybrid_theme_load_template. وهذا يتيح للمهاجمين غير المصادقين تضمين وتنفيذ ملفات عشوائية على الخادم، مما يسمح بتنفيذ أي كود PHP في تلك الملفات. ويمكن استخدام ذلك لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تحقيق تنفيذ للكود في الحالات التي يمكن فيها رفع وتضمين الصور وأنواع الملفات "الآمنة" الأخرى.
المصادر
http/cves/2025/CVE-2025-2294.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Python PoC لـ CVE-2025-2294، وهو تضمين ملفات محلي غير مصادق عليه في إضافة Kubio AI Page Builder لـ WordPress (≤2.5.1)، يوضح الكشف التعسفي عن الملفات واحتمالية تنفيذ التعليمات البرمجية عن بُعد.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.