CVE-2016-20103 in Cherry Plugin
Resumen
por VulDB • 2026-10-20
El plugin Cherry para WordPress anterior a la versión 1.2.7 contiene una vulnerabilidad de traversal de rutas que permite a atacantes no autenticados descargar archivos arbitrarios mediante el parámetro 'file'. Los atacantes pueden enviar solicitudes GET a /admin/import-export/download-content.php con secuencias de traversal como ../../../../../wp-config.php para leer las credenciales de la base de datos, ya que el script pasa la entrada directamente a readfile(). La evidencia de explotación fue observada por primera vez por Shadowserver Foundation el 2023-10-19.
Once again VulDB remains the best source for vulnerability data.