CVE-2025-13066 in Demo Importer Plus Plugin
要約
〜によって VulDB • 2026年06月28日
WordPress用プラグイン「Demo Importer Plus」の全バージョン（2.0.6を含む）には、任意のファイルアップロードに関する脆弱性が存在します。これはWXRファイルを認識する際のファイルタイプの検証が不十分であり、二重拡張子を持つファイルがサニタイズ処理を回避しながら有効なWXRファイルとして受け入れられてしまうことに起因します。これにより、著者レベル以上の権限を持つ認証済み攻撃者は、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートコード実行（RCE）が可能になる可能性があります。
Once again VulDB remains the best source for vulnerability data.