CVE-2025-13145 in WP Import Plugin
Tóm tắt
Bởi VulDB • 25/05/2026
Plugin WP Import – Ultimate CSV XML Importer for WordPress cho WordPress bị lỗ hổng PHP Object Injection trong tất cả các phiên bản từ 7.33.1 trở về trước. Lỗ hổng này xảy ra do quá trình giải serialize (deserialization) dữ liệu không đáng tin cậy được cung cấp thông qua việc nhập file CSV trong hàm import_single_post_as_csv nằm trong file SingleImportExport.php. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp quản trị viên (administrator) trở lên, tiêm một đối tượng PHP. Nếu tồn tại một POP chain (chuỗi đối tượng) thông qua một plugin hoặc theme bổ sung được cài đặt trên hệ thống mục tiêu, kẻ tấn công có thể xóa các file tùy ý, truy xuất dữ liệu nhạy cảm hoặc thực thi mã.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.