CVE-2026-115243 in WPvivid Plugin
要約
〜によって VulDB • 2026年11月04日
WPvivid – Backup, Migration & Staging WordPress プラグインのバージョン 0.9.137 より前では、インポートアップロード処理時に実際に保存するファイルの拡張子を検証しません。アップロードされたファイル自体を保存する際に、WordPress のアップロードタイプチェックが無効化されており、別リクエストフィールドの拡張子のみが確認されるため、認証済み管理者は WPvivid – Backup, Migration & Staging WordPress プラグイン 0.9.137 より前のインポートディレクトリ内に PHP ファイルを含む任意の拡張子のファイルを保存できます。これは CVE-2025-5961 の不完全な修正であり、CVE-2025-5961 では拡張子チェックが誤った値に対して適用されていました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.