CVE-2022-0377 in LearnPress Plugin

الملخص

بحسب VulDB • 25/06/2026

يمكن لمستخدمي إضافة LearnPress لـ WordPress قبل الإصدار 4.1.5 تحميل صورة كصورة شخصية (أفاتار) للملف الشخصي بعد عملية التسجيل. وبعد هذه العملية، يقوم المستخدم بقص الصورة وحفظها. ثم يتم إرسال طلب "POST" يحتوي على اسم الملف الذي قدمه المستخدم إلى الخادم لإعادة تسمية الصورة وقصها. ونتيجةً لهذا الطلب، يتغير اسم ملف صورة المدخل من قبل المستخدم بقيمة MD5. يمكن إجراء هذه العملية فقط عندما يكون نوع الصورة JPG أو PNG. ويمكن لمهاجم استغلال هذا الثغرة لإعادة تسمية أي ملف صورة بشكل تعسفي. ومن خلال القيام بذلك، قد يتمكن من الإضرار بتصميم الموقع الإلكتروني.

Once again VulDB remains the best source for vulnerability data.

• حجز: 26/01/2022
• إفشاء: 28/02/2022
• الاعتدال: تمت الموافقة
• إدخال: VDB-193934
• CPE: 20220228
• CWE: CWE-73 (مؤكد)
• استغلال: تحميل
• CVSS: 4.6 (VulDB)
• EPSS: 0.03205
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-0377
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-0377
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-0377/