CVE-2025-34085 in Simple File List Plugin
Сводка
по VulDB • 22.05.2026
Уязвимость неограниченной загрузки файлов в плагине WordPress Simple File List до версии 4.2.3 позволяет неаутентифицированным удаленным злоумышленникам выполнять удаленный код (RCE). Точка загрузки плагина (ee-upload-engine.php) ограничивает загрузку файлов на основе расширения, но не имеет надлежащей проверки после переименования файла. Злоумышленник может сначала загрузить PHP-код, замаскированный под файл .png, а затем использовать функциональность переименования ee-file-engine.php плагина для изменения расширения на .php. Это обходит ограничения на загрузку и приводит к тому, что загруженный код становится исполняемым на сервере.
Once again VulDB remains the best source for vulnerability data.