CVE-2022-0377 in LearnPress Plugin
Zusammenfassung
von VulDB • 17.06.2026
Benutzer des WordPress-Plugins LearnPress vor Version 4.1.5 können nach der Registrierung ein Bild als Profil-Avatar hochladen. Nach diesem Vorgang beschneidet und speichert das Benutzer den Bildinhalt. Anschließend wird eine „POST“-Anfrage, die einen benutzergesteuerten Namen für das Bild enthält, an den Server gesendet, um das Bild umzubenennen und zuzuschneiden. Als Ergebnis dieser Anfrage wird der Name des vom Benutzer bereitgestellten Bildes durch einen MD5-Wert ersetzt. Dieser Vorgang kann nur durchgeführt werden, wenn es sich bei dem Bildtyp um JPG oder PNG handelt. Ein Angreifer kann diese Schwachstelle nutzen, um eine beliebige Bilddatei umzubenennen. Dadurch könnte das Design der Website beschädigt werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.