CVE-2025-7852 in WPBookit Plugin
要約
〜によって VulDB • 2026年06月27日
WordPress用プラグインWPBookitには、'add_new_customer'ルート経由でフックされるimage_upload_handle()関数におけるファイルタイプの検証欠如により、任意のファイルアップロード脆弱性が存在します。この問題は1.0.6を含むすべてのバージョンに影響します。プラグインの画像アップロードハンドラは、許可された拡張子やMIMEタイプを制限したり、ファイル名を検証したりすることなく、クライアントから提供されるファイルに対してmove_uploaded_file()関数を呼び出します。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートコード実行（RCE）につながる可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.