CVE-2026-1657
EventPrime <= 4.2.8.4 - فقدان التفويض لرفع الصور دون مصادقة عبر نقطة نهاية AJAX 'ep_upload_file_media'
- تم النشر
- 17/02/2026
- محدث
- 08/04/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 25/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 35.4%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# ثغرة في إضافة EventPrime لـ WordPress إضافة EventPrime لـ WordPress معرضة لثغرة تسمح برفع ملفات الصور بشكل غير مصرح به في جميع الإصدارات حتى الإصدار 4.2.8.4 وما يتضمنه. يعود سبب هذه الثغرة إلى قيام الإضافة بتسجيل إجراء AJAX الخاص بـ upload_file_media كإجراء متاح للجمهور (مفعّل عبر nopriv) دون تنفيذ أي آلية مصادقة أو تفويض أو التحقق من nonce على الرغم من إنشاء nonce. هذا يتيح للمهاجمين غير المصادق عليهم رفع ملفات الصور إلى دليل uploads في WordPress وإنشاء مرفقات في مكتبة الوسائط عبر نقطة النهاية ep_upload_file_media.
المصادر
رفع ملف تعسفي غير مصادق عليه في إضافة EventPrime
- -CVE-2026-1657استغلال
استغلال لثغرة CVE-2026-1657، وهي ثغرة رفع ملفات غير مصادق عليها عبر نقطة نهاية AJAX 'ep_upload_file_media'، مما يسمح برفع ملفات عن بُعد.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.