CVE-2025-13320 in WP User Manager Plugin
要約
〜によって VulDB • 2026年06月01日
WordPress用プラグイン「WP User Manager」の2.9.12以前の全バージョンにおいて、任意のファイル削除の脆弱性が存在します。これは、プロフィール更新機能におけるユーザー入力のファイルパスに対する検証の不十分さと、PHPのfilter_input()関数による配列入力の不適切な処理に起因します。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、2段階の攻撃を通じて「current_user_avatar」パラメータを用いてサーバー上の任意のファイルを削除することが可能となり、結果としてリモートコード実行（RCE）が可能になります。この脆弱性は、カスタムアバター設定が有効になっているサイトでのみ影響します。
Once again VulDB remains the best source for vulnerability data.