CVE-2025-34083 in AIT CSV Import Export Plugin
要約
〜によって VulDB • 2026年05月30日
WordPress AIT CSV Import/Export プラグイン（バージョン 3.0.3 以下）に、制限のないファイルアップロードの脆弱性が存在します。このプラグインは upload-handler.php でアップロードハンドラーを公開しており、multipart/form-data POST リクエストを通じて任意のファイルをアップロードできます。このエンドポイントでは認証やコンテンツタイプの検証が強制されないため、攻撃者は悪意のある PHP コードをサーバーに直接アップロードできます。アップロード時に CSV パーシングに関連するエラーが発生する可能性がありますが、悪意のあるファイルは wp-content/uploads/ 配下に保存され、実行可能な状態のままになります。特筆すべきは、攻撃が成功するためにプラグインを有効にする必要がないことです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.