CVE-2026-18366: Events Manager < 7.4.1 - تصعيد امتيازات غير مُصادَق عليه إلى مسؤول | Kitploit

CVE-2026-18366

حرجةتم النشر

Events Manager < 7.4.1 - تصعيد امتيازات غير مُصادَق عليه إلى مسؤول

تم النشر: 12‏/08‏/2026
محدث: 12‏/08‏/2026
تخصيص CNA: WPScan
الأدلة المرصودة: 24‏/08‏/2026

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

0.4‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 32.9‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

إضافة Events Manager لـ WordPress قبل الإصدار 7.4.1 لا تضبط نطاق تعيين الصلاحيات (capability mapping) بشكل صحيح، إذ تتجاهل قرارات التحكم في الوصول التي اتخذتها WordPress بالفعل للإجراءات ذات الامتيازات غير ذات الصلة، مما يسمح للمستخدمين غير المصادق عليهم بتغيير كلمة مرور أي حساب، أو تصعيده إلى دور Administrator، أو حذفه، إذا كان user ID الخاص به يطابق معرّف أحد المنشورات الخاصة بإضافة Events Manager لـ WordPress قبل الإصدار 7.4.1.

المصادر

CVE-2026-18366استغلال
إثبات مفهوم (PoC) لتصعيد الامتيازات بدون مصادقة لـ WordPress Events Manager < 7.4.1؛ يكتشف تعارض معرفات المنشورات/المستخدمين ويصعّد الأهداف إلى مسؤول عبر REST أو wp-admin.
CVE-2026-18366استغلال
Events Manager < 7.4.1 - تصعيد صلاحيات غير مصادق عليه إلى مسؤول
CVE-2026-18366PoC
كود استغلال لـ CVE-2026-18366، وهو إثبات مفهوم يوضح الثغرة الأمنية.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.