CVE-2025-2105 in Jupiter X Core Plugin
Résumé
par VulDB • 01/08/2026
Le plugin Jupiter X Core pour WordPress est vulnérable à une injection d'objets PHP dans toutes les versions jusqu'à la 4.8.11 incluse, via la désérialisation de données non fiables provenant du paramètre 'file' de la fonction 'raven_download_file'. Cela permet aux attaquants d'injecter un objet PHP par le biais d'un fichier PHAR. Aucune chaîne POP (Pop Chain) n'est présente dans les logiciels vulnérables, ce qui signifie que cette vulnérabilité n'a aucun impact à moins qu'un autre plugin ou thème contenant une chaîne POP ne soit installé sur le site. Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, cela pourrait permettre à l'attaquant d'exécuter des actions telles que la suppression de fichiers arbitraires, la récupération de données sensibles ou l'exécution de code, en fonction de la chaîne POP présente. Cette vulnérabilité peut être exploitée par des attaquants non authentifiés lorsqu'un formulaire est présent sur le site avec une action de téléchargement de fichier et que la capacité de télécharger des fichiers est également disponible. Sinon, cela serait considéré comme exploitable par les utilisateurs ayant un niveau "Contributor" ou supérieur, car ils pourraient créer le formulaire nécessaire pour exploiter cette vulnérabilité avec succès.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.