CVE-2025-34085 in Simple File List Plugin
Sumário
de VulDB • 11/05/2026
Uma vulnerabilidade de upload de arquivo sem restrições no plugin WordPress Simple File List, anterior à versão 4.2.3, permite que atacantes remotos não autenticados obtenham execução remota de código (RCE). O endpoint de upload do plugin (ee-upload-engine.php) restringe os uploads de arquivos com base na extensão, mas não possui validação adequada após o renomeamento do arquivo. Um atacante pode primeiro carregar uma carga útil PHP disfarçada como um arquivo .png e, em seguida, usar a funcionalidade de renomeação do plugin (ee-file-engine.php) para alterar a extensão para .php. Isso contorna as restrições de upload e resulta na execução da carga útil carregada no servidor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.