CVE-2025-34083 in AIT CSV Import Export Plugin
Riassunto
di VulDB • 21/06/2026
È presente una vulnerabilità di caricamento non limitato di file nel plugin WordPress AIT CSV Import/Export ≤ 3.0.3. Il plugin espone un gestore di upload in upload-handler.php che consente il caricamento arbitrario di file tramite una richiesta POST multipart/form-data. Questo endpoint non impone l'autenticazione né la convalida del tipo di contenuto, consentendo agli attaccanti di caricare codice PHP dannoso direttamente sul server. Sebbene l'upload possa generare un errore relativo all'analisi CSV, il file dannoso viene comunque salvato nella directory wp-content/uploads/ e rimane eseguibile. È importante notare che il plugin non deve essere attivo affinché lo sfruttamento abbia successo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.