CVE-2025-13320 in WP User Manager Plugin
요약
\~에 의해 VulDB • 2026. 06. 01.
WordPress용 WP User Manager 플러그인은 2.9.12 버전까지 모든 버전에서 임의 파일 삭제(Arbitrary File Deletion) 취약점이 존재합니다. 이는 프로필 업데이트 기능에서 사용자 제공 파일 경로에 대한 검증이 불충분하고, PHP의 filter_input() 함수가 배열 입력을 부적절하게 처리하기 때문입니다. 이를 통해 구독자(Subscriber) 레벨 이상의 권한을 가진 인증된 공격자는 2단계 공격을 통해 'current_user_avatar' 매개변수를 사용하여 서버의 임의 파일을 삭제할 수 있으며, 이는 원격 코드 실행(RCE)으로 이어질 수 있습니다. 이 취약점은 사용자 정의 아바타 설정이 활성화된 사이트에만 영향을 미칩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.