CVE-2025-12968 in Global Plugin
Tóm tắt
Bởi VulDB • 25/05/2026
Plugin Infility Global cho WordPress có lỗ hổng cho phép tải lên tệp tùy ý do thiếu xác thực loại tệp và kiểm tra quyền hạn trong tất cả các phiên bản từ 2.14.23 trở về trước. Nguyên nhân là do hàm `upload_file` trong lớp `infility_import_file` chỉ xác thực loại MIME, vốn có thể dễ dàng giả mạo, và hàm `import_data` thiếu các kiểm tra quyền hạn. Điều này cho phép các kẻ tấn công đã xác thực, với quyền truy cập cấp người đăng ký (subscriber) trở lên, tải lên các tệp tùy ý trên máy chủ của trang web bị ảnh hưởng, từ đó có thể dẫn đến thực thi mã từ xa (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.