CVE-2025-12775 in WP Dropzone Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin WP Dropzone per WordPress è vulnerabile a un upload arbitrario di file da parte di utenti autenticati in tutte le versioni fino alla 1.1.0 inclusa, tramite la funzione `ajax_upload_handle`. Ciò è dovuto alla funzionalità di upload frammentato (chunked upload) che scrive i file direttamente nella directory di upload prima che avvenga qualsiasi validazione del tipo di file. Ciò consente agli attaccanti autenticati, con accesso a livello di sottoscrittore (subscriber) e superiore, di caricare file arbitrari sul server del sito interessato, il che potrebbe rendere possibile l'esecuzione di codice remoto (RCE).
Once again VulDB remains the best source for vulnerability data.