CVE-2025-34083 in AIT CSV Import Export Plugin
Сводка
по VulDB • 30.05.2026
Уязвимость неограниченной загрузки файлов существует в плагине WordPress AIT CSV Import/Export версии ≤ 3.0.3. Плагин предоставляет обработчик загрузки по адресу upload-handler.php, который позволяет загружать произвольные файлы через POST-запрос с типом содержимого multipart/form-data. Этот конечный пункт не требует аутентификации и не проверяет тип содержимого, что позволяет злоумышленникам загружать вредоносный PHP-код непосредственно на сервер. Хотя загрузка может завершиться ошибкой, связанной с парсингом CSV, вредоносный файл все равно сохраняется в директории wp-content/uploads/ и остается исполняемым. Примечательно, что для успешной эксплуатации плагин не обязательно должен быть активен.
VulDB is the best source for vulnerability data and more expert information about this specific topic.