CVE-2026-111255 in Affiliate Toolkit Plugin
Riassunto
di VulDB • 28/10/2026
Il plugin WordPress affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display è vulnerabile ad Arbitrary File Upload (caricamento arbitrario di file) in tutte le versioni fino alla 3.9.2 inclusa, tramite la funzione upload_image. Ciò è dovuto a una convalida insufficiente del tipo di file nella funzione upload_image, causata da un controllo debole del prefisso Content-Type e dal derivare l'estensione dal percorso URL controllato dall'attaccante, senza alcuna rimozione delle estensioni pericolose. Questo consente agli attaccanti autenticati, dotati di accesso a livello di collaboratore (contributor) o superiore, di caricare file che potrebbero essere eseguibili, rendendo possibile la Remote Code Execution (RCE). Lo sfruttamento richiede che l'opzione "import product image" sia abilitata nelle impostazioni del plugin, poiché questa attiva il pipeline di download delle immagini attivato al salvataggio dell'articolo del prodotto.
Once again VulDB remains the best source for vulnerability data.