CVE-2025-3568

CVE-2025-3568 Escalade de privilèges via un fichier SVG malveillant Résumé Une vulnérabilité de sécurité a été identifiée dans Krayin CRM 2.1.0 qui permet à un utilisateur à faibles privilèges d'élever ses privilèges en trompant un administrateur pour qu'il ouvre un fichier SVG malveillant. Cette...

CVE-2021-22911

CVE-2021-22911 حقن NoSQL أعمى بدون مصادقة يؤدي إلى تنفيذ تعليمات برمجية عن بُعد في Rocket Chat 3.12.1 طريقة getPasswordPolicy معرضة لهجمات حقن NoSQL ولا تتطلب مصادقة/تفويضًا. يمكن استخدامها للاستيلاء على الحسابات عن طريق تسريب رموز إعادة تعيين كلمة المرور. يؤدي الاستيلاء على حساب مسؤول إلى تنفيذ...

wordpress-CVE-2024-10924--exploit

🚀 ثغرة في إضافة WordPress Really Simple Security CVE-2024-10924 📌 نظرة عامة تُعد WordPress واحدة من أكثر أنظمة إدارة المحتوى CMS مفتوحة المصدر شيوعًا، حيث تدعم ملايين المواقع حول العالم — من المدونات الشخصية إلى منصات التجارة الإلكترونية المتكاملة. ومع ذلك، في نوفمبر 2024 ، تم اكتشاف ثغرة أمنية...

CVE-2026-72898

🔴 CVE-2026-72898 - Injection SQL non authentifiée Metabase — Injection SQL non authentifiée → Prise de contrôle complète de l'administrateur 📌 Aperçu CVE-2026-72898 est une vulnérabilité d'injection SQL non authentifiée de sévérité maximale CVSS 10.0 dans Metabase qui permet à un attaquant distan...

CVE-2021-24647

CVE-2021-24647 CVE-2021-24647 Pie Register 3.7.1.6 - Connexion Arbitraire Non Authentifiée Informations usage: exploit.py -h -w URL -p PATH options: -h, --help show this help message and exit -w URL, --url URL URL of the WordPress site -p PATH, --path PATH Path of the Login Page /login/ or...

cve-2026-9558-poc

CVE-2026-9558 — Injection de modèles de thèmes Mautic côté serveur SSTI menant à une prise de contrôle totale de l'administration Table des matières Aperçu Versions affectées Cause racine Analyse Structure du dépôt Prérequis Utilisation Sortie attendue Références Avertissement Aperçu CVE-2026-955...

CVE-2026-41452-PoC

CVE-2026-41452 — Contournement d'authentification de l'installateur Krayin CRM → Prise de contrôle admin CVSS 9.8 Critique · CWE-287 / CWE-306 · Analyse de Jiva · VulnCheck Résumé L'installateur de Krayin CRM expose POST /install/api/admin-config-setup ainsi que run-migration, run-seeder sans...

CVE-2022-0952

CVE-2022-0952 خريطة الموقع من click5 1.0.36 - تحديث خيارات غير موثوق به بدون مصادقة الوصف لا يقوم الإضافة بإجراء فحوصات التفويض و CSRF عند تحديث الخيارات عبر نقطة REST، ولا يضمن أن الخيار المراد تحديثه ينتمي إلى الإضافة. نتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم تغيير خيارات المدونة التعسفية،...

Nginx UI <= 2.3.7 - Unauthenticated Installer Exposure

Nginx UI 2.0.0 to 2.3.8 contains an authentication bypass caused by unauthenticated access to /api/install during first-run setup, letting remote attackers claim the initial admin account, exploit requires attacker to access the service before legitimate operator. id: CVE-2026-42221 info: name:...

Hippoo Mobile App for WooCommerce <= 1.9.4 - Authentication Bypass to Admin Account Takeover

Hippoo Mobile App for WooCommerce WordPress plugin = 1.9.4 contains an authentication bypass caused by logic conflation in user permission checks, letting unauthenticated attackers take over administrator accounts via REST API password reset. id: CVE-2026-10580 info: name: Hippoo Mobile App for...

N-able N-central < 2026.3.1.10 - Authentication Bypass

N-able N-central versions through 2026.3.1 contain an authentication bypass that lets a remote unauthenticated attacker take over an administrator account and gain full control of the N-central server. CVE-2026-18577 is a bypass of the incomplete fix for CVE-2026-18556, so the 2026.3.1 Hotfix 1...

RestroPress 3.0.0-3.2.1 - Authentication Bypass

RestroPress Online Food Ordering System WordPress plugin 3.0.0 to 3.1.9.2 contains an authentication bypass caused by exposure of user private tokens and API data via /wp-json/wp/v2/users endpoint, letting unauthenticated attackers forge JWT tokens and authenticate as other users including...

CVE-2026-5076

☠️ CVE-2026-5076 ARMember Premium = 7.3.1 Mécanisme de réinitialisation de mot de passe non sécurisé → prise de contrôle totale du compte administrateur Clés de réinitialisation de mot de passe en clair stockées dans la base de données + injection SQL = prise de contrôle complète de...

By-Poloss..-..CVE-2026-15038-POC

🚨 CVE-2026-15038 — Prise de contrôle admin InfiniteWP Client Prise de contrôle non authentifiée de compte administrateur dans WordPress Multisite 📋 Vue d'ensemble Le plugin InfiniteWP Client pour WordPress getoption'iwpclientactionmessageid' && !$iwpmmbcore-getoption'iwpclientpublickey' Lecture :...

By-Poloss..-..CVE-2026-10580

CVE-2026-10580: تطبيق Hippoo المحمول لـ WooCommerce = 1.9.4 - تجاوز المصادقة غير الموثقة للاستيلاء على حساب المدير تجاوز غير موثوق → الاستيلاء على حساب المدير عبر خطأ في الخلط المنطقي 📌 الملخص | ---|--- CVE| CVE-2026-10580 الإضافة| Hippoo Mobile App for WooCommerce الإصدار| ≤ 1.9.4 CVSS| 9.8 حرج...

CVE-2026-8181

CVE-2026-8181 - تجاوز مصادقة Burst Statistics CVSS 9.8 حرج — تجاوز مصادقة يؤدي إلى الاستيلاء على حساب المسؤول الوصف CVE-2026-8181 هي ثغرة تجاوز مصادقة في إضافة ووردبريس Burst Statistics الإصدارات 3.4.0 إلى 3.4.1.1. تُستخدم هذه الإضافة من قبل أكثر من 200,000 موقع ووردبريس كبديل للتحليلات صديق...

CVE-2025-2563

CVE-2025-2563 — User Registration & Membership | سلسلة كاملة لتصعيد صلاحيات المسؤول ██╗ ██╗███████╗███████╗██████╗ ██████╗ ███████╗ ██████╗ ██║ ██║██╔════╝██╔════╝██╔══██╗ ██╔══██╗██╔════╝██╔════╝ ██║ ██║███████╗█████╗ ██████╔╝ ██████╔╝█████╗ ██║ ███╗ ██║ ██║╚════██║██╔══╝ ██╔══██╗ ██╔══██╗██╔══╝...

CVE-2025-15030

CVE-2025-15030 مُنشئ ملفات تعريف المستخدمين 3.15.2 - إعادة تعيين كلمة المرور التعسفية دون مصادقة CVE-2025-15030 مُنشئ ملفات تعريف المستخدمين — إعادة تعيين كلمة المرور دون مصادقة → الاستيلاء على المسؤول + رفع شيل / / \ |/ / / / / / \ / / / \ / \ | / | | //| \ / /| / | / /| \ | || | / | /...

CVE-2026-76578

CVE-2026-76578 — Prise de contrôle administrateur anonyme de FreeIPA Produit : FreeIPA 4.9.x – 4.13.3 Sévérité : Critique CVSS 9.8 Corrigé : FreeIPA 4.13.4 / 389-ds-base 3.2.0-10.el102 RHSA-2026:64785 Avis juridique Cette preuve de concept a été développée et exécutée exclusivement dans un...

cve-2026-82329-jfrog-artifactory

CVE-2026-82329 — Contournement d'authentification non authentifié JFrog Artifactory → prise de contrôle admin CVSS 9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · CWE-287 · divulgué le 28/08/2026 · exploité dans la nature. Un attaquant non authentifié, adjacent au réseau, génère un jeton d'accès...