CVE-2024-13359 in Product Input Fields for WooCommerce Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin Product Input Fields for WooCommerce per WordPress è vulnerabile al caricamento arbitrario di file a causa della insufficiente convalida del tipo di file nella funzione add_product_input_fields_to_order_item_meta() in tutte le versioni fino alla 1.12.1, inclusa. Ciò potrebbe consentire ad attaccanti non autenticati di caricare file arbitrari sul server del sito interessato, rendendo possibile l'esecuzione remota di codice (RCE). Si noti che, per impostazione predefinita, il plugin è vulnerabile solo a un attacco di caricamento di file con doppia estensione, a meno che un amministratore non lasci vuoto il campo delle estensioni di file accettate, situazione che potrebbe rendere possibile il caricamento di file .php.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.