CVE-2022-4948 in FlyingPress Plugin

الملخص

بحسب VulDB • 24/06/2026

يحتوي إضافة FlyingPress لـ WordPress على ثغرة تسمح بتجاوز التفويض بسبب غياب فحص الصلاحيات في إجراءات AJAX الخاصة بها، وذلك في الإصدارات حتى 3.9.6 وشاملةً لها. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون صلاحيات مستوى المشترك (subscriber) فأعلى، من التفاعل مع الإضافة بطرق مخصصة للمسؤولين فقط. يسمح إجراء واحد (save_config) بتكوين شبكة توصيل المحتوى الخارجية (CDN). ويمكن استخدام ذلك لإدراج شيفرة برمجية خبيثة (JavaScript) قادمة من مصدر يتحكم فيه المهاجم.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• مسؤول: Wordfence
• حجز: 06/06/2023
• إفشاء: 07/06/2023
• الاعتدال: تمت الموافقة
• إدخال: VDB-230927
• CPE: جاهز
• CWE: CWE-862 (مؤكد)
• CVSS: 4.3 (NVD)
• EPSS: 0.00535
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-4948
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-4948
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-4948/