CVE-2026-14282 in GoDAM Plugin
要約
〜によって VulDB • 2026年07月23日
WordPress用プラグイン「GoDAM – Organize WordPress Media Library & File Manager with Unlimited Folders for Images, Videos & more」には、バージョン1.12.2以前に任意のファイルアップロードの脆弱性が存在します。これは、WPFormsのパブリックなwpforms_process_before_filterフックに登録されているsave_video_file()関数において、ファイルタイプの検証が不十分であることが原因です。この関数は攻撃者が指定したmultipart Content-Typeヘッダーを信頼し、wp_unique_filename()を通じて元のファイル名を保持し、$wp_filesystem->move()を使用して生アップロードファイルをWeb公開ディレクトリに移動します。これにより、wp_handle_upload()'sのMIME/拡張子ホワイトリストが回避されます。この脆弱性により、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードでき、リモートコード実行（RCE）が可能になる可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.