استغلال CVE-2025-2907

التفاصيل

• نشر: 2025-04-04
• تحديث: 2025-03-28
• الخطورة: حرجة (درجة CVSS: 9.8)
• CWE: CWE-862: CWE-862 نقص التفويض
• الإصدارات المتأثرة: جميع الإصدارات من n/a حتى 12.3.1
• الباحث: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/mike-gozdiskowski

متجه CVSS

• إصدار CVSS: 9.8
• سلسلة المتجه: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

الوصف

إضافة Order Delivery Date for WooCommerce لـ WordPress معرضة لتعديل غير مصرح به للبيانات يمكن أن يؤدي إلى تصعيد الامتيازات بسبب فقدان فحص الصلاحية على إجراء 'orddd-import-file' في الإصدارات من 2.0 إلى 12.3.1 (باستثناء). هذا يجعل من الممكن للمهاجمين غير المصادق عليهم تحديث خيارات عشوائية في موقع WordPress. يمكن استغلال ذلك لتحديث الدور الافتراضي للتسجيل إلى مدير وتمكين تسجيل المستخدمين للمهاجمين للحصول على وصول مستخدم إداري إلى موقع ضعيف. يُرجى ملاحظة أن هذا يؤثر فقط على إصدار PRO من البرنامج.

الاستخدام

usage: python3 CVE-2025-2907.py

تفاصيل السكربت

التثبيت

1. استنساخ المستودع:
   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-2907.git
   cd CVE-2025-2907
   pip3 install -r requirements.txt
   

إخلاء مسؤولية

هذا السكربت مخصص للأغراض التعليمية فقط. استخدمه بمسؤولية وفقط على الأنظمة التي لديك إذن صريح بها. الاستخدام غير المصرح به لهذا السكربت غير قانوني وغير أخلاقي.