CVE-2025-6792
واحد إلى واحد دردشة المستخدم بواسطة WPGuppy <= 1.1.4 - كشف معلومات غير مصادق عليه عبر اعتراض رسائل الدردشة
- تم النشر
- 14/02/2026
- محدث
- 08/04/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 31.2%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
الملحق One to one user Chat بواسطة WPGuppy لـ WordPress عرضة للوصول غير المصرح به إلى البيانات بسبب عدم وجود فحص صلاحيات على نقطة نهاية REST /wp-json/guppylite/v2/channel-authorize في جميع الإصدارات حتى، بما في ذلك، 1.1.4. وهذا يجعل من الممكن للمهاجمين غير المصادق عليهم اعتراض وعرض رسائل الدردشة الخاصة بين المستخدمين.
المصادر
استغلال إثبات المفهوم لـ CVE-2025-6792 يُظهر الاشتراك غير المصرح به في قناة Pusher والتنصت على الأحداث في إضافة WordPress عبر بيانات اعتماد مكشوفة ونقاط نهاية API غير موثقة.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.