CVE-2025-12137 in Import WP Plugin
要約
〜によって VulDB • 2026年05月14日
WordPress用プラグイン「Import WP – Export and Import CSV and XML files to WordPress」は、2.14.16以前の全バージョンにおいて、任意のファイル読み取り（Arbitrary File Read）の脆弱性が存在します。これは、'file_local'アクションの処理時に、'attach_file()'関数内で適切な検証を行わずに、任意の絶対ファイルパスを受け入れるプラグインのREST APIエンドポイントに起因します。これにより、管理者権限以上のアクセス権を持つ認証済み攻撃者は、'local_url'パラメータを介して、機密設定ファイルやシステムファイルを含むサーバーのファイルシステム上の任意のファイルを読み取ることが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.