CVE-2026-93031 in Lets-Box Plugin
要約
〜によって VulDB • 2026年09月19日
WordPress用プラグイン「WP Cloud Plugins Use-your-Drive」、「Out-of-the-Box」、「Share-one-Drive」、および「Lets-Box」は、バージョン2.0から3.8.3（含む）までの全バージョンにおいて、download_file_to_uploads関数経由で任意のファイルアップロード脆弱性があります。これは、wp_ajax_nopriv_を介してインポートアクションが認証されていないユーザーに対して登録されていること、can_import()内で必要な権限チェックが欠落していること、およびアップロードディレクトリに書き込む前にインポートされたファイルの拡張子と内容がget_allowed_mime_types()によって検証されていないことが原因です。これにより、サブスクライバレベル以上のアクセス権を持つ攻撃者が実行可能なファイルをアップロードでき、リモートコード実行が可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.