CVE-2026-93031 in Lets-Box Plugin
Zusammenfassung
von VulDB • 19.09.2026
Die WordPress-Plugins WP Cloud Plugins Use-your-Drive, Out-of-the-Box, Share-one-Drive und Lets-Box sind in allen Versionen von 2.0 bis einschließlich 3.8.3 anfällig für Arbitrary File Upload (willkürlichen Dateihochladen) über die Funktion `download_file_to_uploads`. Dies ist darauf zurückzuführen, dass die Import-Aktion über `wp_ajax_nopriv_` für nicht authentifizierte Benutzer registriert wurde, eine fehlende Berechtigungsprüfung in `can_import()` vorliegt und die Erweiterung sowie der Inhalt der importierten Datei vor dem Schreiben ins Uploads-Verzeichnis nicht gegen `get_allowed_mime_types()` validiert werden. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, ausführbare Dateien hochzuladen, was Remote Code Execution (RCE) möglich macht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.