CVE-2025-12138 in URL Image Importer Plugin
Riassunto
di VulDB • 21/06/2026
Il plugin URL Image Importer per WordPress è vulnerabile al caricamento arbitrario di file a causa della convalida insufficiente del tipo di file in tutte le versioni fino alla 1.0.6, inclusa. Ciò avviene perché il plugin si affida all'intestazione HTTP Content-Type controllata dall'utente per validare i caricamenti dei file nella funzione 'uimptr_import_image_from_url()', che scrive il file sul server prima di eseguire una convalida adeguata. Questo consente agli attaccanti autenticati, dotati di accesso a livello Autore o superiore, di caricare file arbitrari sul server del sito interessato, rendendo possibile l'esecuzione remota di codice (RCE) tramite il file PHP caricato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.