CVE-2022-1609
The School Management < 9.9.7 - बिना प्रमाणीकरण के RCE REST API के माध्यम से
- प्रकाशित
- 16 जन॰ 2024
- अद्यतन
- 2 जून 2025
- सीएनए असाइन करना
- WPScan
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.2%
- मॉडल दिनांक
- 15 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
9.9.7 से पहले का School Management WordPress प्लगइन अपने लाइसेंस जाँच कोड में इंजेक्ट किया गया एक छिपा हुआ (obfuscated) बैकडोर शामिल करता है, जो एक REST API हैंडलर पंजीकृत करता है, जिससे एक बिना प्रमाणीकरण वाला हमलावर साइट पर मनमाना PHP कोड निष्पादित कर सकता है।
स्रोत
http/cves/2022/CVE-2022-1609.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
CVE-2022-1609 WordPress Weblizar बैकडोर के लिए Bash PoC
CVE-2022-1609 WordPress Weblizar बैकडोर के लिए Bash PoC
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।