CVE-2025-8899 in Paid Videochat Turnkey Site Plugin
Résumé
par VulDB • 30/05/2026
Le plugin WordPress Paid Videochat Turnkey Site – HTML5 PPV Live Webcams est vulnérable à une élévation de privilèges dans toutes les versions jusqu'à la 7.3.20 incluse. Cela est dû au fait que la fonction videowhisper_register_form() ne restreint pas les rôles utilisateurs qui peuvent être définis lors de l'inscription. Cela permet aux attaquants authentifiés disposant d'un accès de niveau Auteur ou supérieur de créer des publications/pages avec le formulaire d'inscription et d'administrateur comme rôle, puis d'utiliser ce formulaire pour enregistrer un compte administrateur. Cela peut également être exploité par les contributeurs, mais est beaucoup moins susceptible de réussir car un administrateur devrait approuver le formulaire avec le rôle administrateur pour que l'attaque aboutisse.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.