CVE-2025-14736

CVE-2025-14736 Frontend Admin by DynamiApps - تصعيد امتيازات بدون مصادقة المؤلف: Hyun Chiya معلومات الثغرة الحقل| القيمة ---|--- معرف CVE| CVE-2025-14736 الملحق| Frontend Admin by DynamiApps الإصدارات المتأثرة| B"Extract Nonce acfnonce & Form ID acfform" B -- C"Construct POST payload with...

CVE-2025-13595

CIBELES AI = 1.10.8 - رفع ملفات تعسفي بدون مصادقة تحتوي الإصدارات 1.10.8 وما دون من المكوّن الإضافي Cibeles AI لووردبريس على ثغرة تنفيذ تعليمات برمجية عن بُعد بدون مصادقة في ملف actualizadorgit.php. يمكن الوصول إلى هذا الملف مباشرة عبر HTTP دون أي فحوصات مصادقة أو تفويض، مما يسمح للمهاجمين غير...

CVE-2025-34085

CVE-2025-34085 — ثغرة تنفيذ التعليمات البرمجية عن بُعد غير مصادق عليها في WordPress Simple File List أداة استغلال آلية لـ CVE-2025-34085 مكررة لـ CVE-2020-36847، وهي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد غير مصادق عليها في إضافة WordPress Simple File List الإصدارات ≤ 4.2.2. ملاحظة: تم رفض...

CVE-2025-12973

S2B AI Assistant – ChatBot, ChatGPT, OpenAI, Content & Image Generator putcontents$outfile, $filecontent, FSCHMODFILE سطر 344...

CVE-2024-3553

CVE-2024-3553 Tutor LMS = 2.6.2 - عدم وجود تفويض يسمح بتحديث غير مصرح به لخيارات محدودة إضافة Tutor LMS – حل التعلم الإلكتروني والدورات عبر الإنترنت لووردبريس عرضة لتعديل غير مصرح به للبيانات بسبب نقص فحص الصلاحية في دالة hidenotices في جميع الإصدارات حتى 2.6.2. وهذا يجعل من الممكن للمهاجمين...

Exploit_CVE-2021-24762

exploitcve-2021-24762 Этот репозиторий содержит эксплойт для CVE-2021-24762. Это эксплойт Blind SQLi, который при стандартной конфигурации извлекает пароль администратора. Выполняя лабораторную работу на базе Wordpress с плагином PerfectSurvey, я застрял на SQL-уязвимости. Единственный доступный...

CVE-2026-105190 Easy Digital Downloads < 3.7.1 - Unauthenticated Account Creation with Registration Disabled

The Easy Digital Downloads WordPress plugin before 3.7.1 does not consult the site's user registration setting before creating a WordPress account, allowing unauthenticated users to create an account and receive a logged-in session even when registration is disabled. The created account receives...

CVE-2026-103517

The Airwallex Online Payments Gateway WordPress plugin, in versions prior to 1.36.0 , is vulnerable to an unauthenticated payment bypass. The root cause is a failure to verify the authenticity of incoming payment notifications when no webhook secret is configured. This allows unauthenticated atta...

CVE-2025-23968

AI Bud – مولد المحتوى بالذكاء الاصطناعي، روبوت الدردشة الذكي، ChatGPT، Gemini، GPT-4o يُعرّض إضافة AI Bud نقطة نهاية REST API /wp-json/ai-buddy/v1/wp/attachments تتيح رفع الملفات إلى مكتبة وسائط WordPress. تحتوي منطق الملف في نقطة النهاية على وظيفة إعادة تسمية الملفات التي تُفعَّل بعد التحقق من ن...

CVE-2025-10658

استغلال: تخمين رمز OTP للضيف في SupportCandy بالقوة الغاشمة → الاستيلاء على الحساب 1 بدء عملية تسجيل الدخول عبر OTP المتصفح افتح: /support/ اختر تسجيل دخول الضيف / OTP أدخل البريد الإلكتروني الهدف مثل: [email protected] أرسل 2 استخراج القيم المطلوبة من نموذج OTP في استجابة DevTools → Network...

CVE-2025-13374

عامل Kalrav AI = 2.3.3 - رفع ملف عشوائي غير مصادق عليه عبر إجراء AJAX kalravuploadfile يحتوي إضافة ووردبريس Kalrav AI Agent الإصدار 2.3.3 وما قبله على ثغرة رفع ملف عشوائي تسمح للمستخدمين غير المصادق عليهم برفع ملفات PHP ضارة إلى الخادم، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. ملخص الاستغلال...

CVE-2026-5118

CVE-2026-5118 — Divi Form Builder = 5.1.2 — تصعيد الامتيازات غير المصادق عليه عبر حقن الدور 🔥 ملخص الثغرة إضافة ووردبريس Divi Form Builder بإصدارات = 5.1.2 معرّضة لثغرة تصعيد امتيازات غير مصادق عليه. يسمح هذا الخلل الحرج للمهاجمين غير المصادقين بإنشاء حساب مدير Administrator جديد مباشرةً عبر أي...

WordPress_Backup_Migration-RCE_Unauthenticated

CVE-2023-6553 — مكوّن Backup Migration لووردبريس - شل عكسية نسخة موسعة من استغلال Chocapikk لـ CVE-2023-6553 تضيف وضع شل عكسية بأمر واحد فوق الشل التفاعلية الأصلية. الثغرة CVE-2023-6553 — تنفيذ أكواد عن بُعد بدون مصادقة في مكوّن ووردبريس Backup Migration الإصدارات ≤ 1.3.7. يعرض المكوّن الملف...

CVE-2024-33911

The School Management 10.3.4 - حقن SQL بعد المصادقة عنوان الاستغلال: The School Management 10.3.4 - حقن SQL بعد المصادقة التاريخ: 29 أبريل، 2024 مؤلف الاستغلال: Ivan Spiridonov xbz0n الصفحة الرئيسية للمورّد: https://theschool-management.com الإصدار: 10.3.4 تم الاختبار على: Ubuntu 22.04 CVE:...

CVE-2026-8181

CVE-2026-8181 — Burst Statistics 3.4.0 – 3.4.1.1 — تجاوز المصادقة المؤدي إلى الاستيلاء على حساب المسؤول ملخص الثغرة إضافة ووردبريس Burst Statistics في الإصدارات 3.4.0 إلى 3.4.1.1 معرّضة لثغرة تجاوز مصادقة دون الحاجة لمصادقة مسبقة تؤدي إلى الاستيلاء الكامل على حساب المسؤول. تتيح هذه الثغرة الحرجة...

CVE-2025-14124

CVE-2025-14124 إضافة WordPress Team Plugin - حقن SQL بدون مصادقة المؤلف: Hyun Chiya معلومات الثغرة الحقل| القيمة ---|--- معرف CVE| CVE-2025-14124 الإضافة| WordPress Team Plugin الإصدارات المتأثرة| esclike $this-s's' ; // ⚠️ esclike only escapes %, , \ $where .= "OR $wpdb-posts.posttitle LIKE...

CVE-2025-13597

AI Feeds = 1.0.11 - رفع ملف تعسفي غير مصادق عليه يحتوي إضافة ووردبريس AI Feeds في الإصدارات 1.0.11 وما دون على ثغرة تنفيذ تعليمات برمجية عن بُعد غير مصادق عليها في ملف actualizadorgit.php. يمكن الوصول إلى هذا الملف مباشرة عبر HTTP دون أي تحقق من المصادقة أو التفويض، مما يسمح للمهاجمين غير المصادق...

CVE-2025-13380

AI Engine for WordPress: ChatGPT, GPT Content Generator = 1.0.1 - قراءة ملفات عشوائية للمستخدمين الموثَّقين مساهم فما فوق يحتوي إضافة AI Engine for WordPress على ثغرة في ميزة إدراج الصور تسمح لأي مستخدم موثَّق لديه صلاحيات تحرير المنشورات مساهم، مؤلف، محرر، مدير بتنزيل ملفات عشوائية من الخادم. تن...

cve-2026-3359-exp

CVE-2026-3359 هي ثغرة حقن SQL غير مصادق عليها تقع في إضافة ووردبريس "Form Maker" التابعة لـ Web10، وتؤثر على جميع الإصدارات حتى الإصدار 1.15.42. لاستخدام هذا الـ PoC/الاستغلال، قم أولاً بإعداد بيئة افتراضية من خلال الأمرين "virtualenv name of your enviroment here" أو "venv name of your enviroment...

POC-GeoLeak-CVE-2026-52715

GeoLeak — PoC de la CVE-2026-52715 Preuve de concept éducative de GeoLeak CVE-2026-52715, injection SQL non authentifiée CVSS 9.3 dans le plugin GEO my WordPress = 4.5.5 pour WordPress. Les paramètres swlatlng et nelatlng des limites de la carte sont interpolés sans assainissement dans la clause...