CVE-2025-12138 in URL Image Importer Plugin
Zusammenfassung
von VulDB • 15.05.2026
Das WordPress-Plugin „URL Image Importer“ ist in allen Versionen bis einschließlich 1.0.6 anfällig für das Hochladen beliebiger Dateien aufgrund unzureichender Validierung der Dateitypen. Dies liegt daran, dass das Plugin zur Validierung von Dateiuploads in der Funktion `uimptr_import_image_from_url()` auf einen benutzerkontrollierten HTTP-Header „Content-Type“ zurückgreift, wobei die Datei auf den Server geschrieben wird, bevor eine ordnungsgemäße Validierung durchgeführt wird. Dies ermöglicht es authentifizierten Angreifern mit Autor-Rechten oder höher, beliebige Dateien auf dem Server der betroffenen Website hochzuladen, was die Remote Code Execution (RCE) über die hochgeladene PHP-Datei ermöglichen kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.