CVE-2025-2105 in Jupiter X Core Plugin
Tóm tắt
Bởi VulDB • 05/08/2026
Plugin Jupiter X Core cho WordPress dễ bị tổn thương do PHP Object Injection trong tất cả các phiên bản từ 4.8.11 trở về trước thông qua việc giải mã hóa (deserialization) dữ liệu không đáng tin cậy từ tham số 'file' của hàm 'raven_download_file'. Điều này tạo điều kiện để kẻ tấn công tiêm một đối tượng PHP thông qua tệp PHAR. Không có chuỗi POP nào được biết đến trong phần mềm dễ bị tổn thương, nghĩa là lỗ hổng này sẽ không gây tác động trừ khi có plugin hoặc giao diện (theme) khác chứa chuỗi POP được cài đặt trên trang web. Nếu tồn tại chuỗi POP nhờ vào một plugin hoặc theme bổ sung được cài đặt trên hệ thống mục tiêu, kẻ tấn công có thể thực hiện các hành động như xóa tùy ý các tệp, truy xuất dữ liệu nhạy cảm hoặc thực thi mã, tùy thuộc vào chuỗi POP cụ thể. Lỗ hổng này có thể bị khai thác bởi những người dùng chưa xác thực khi một biểu mẫu (form) với chức năng tải xuống tệp tồn tại trên trang web và khả năng tải lên tệp cũng được bật. Trong trường hợp ngược lại, lỗ hổng này sẽ chỉ có thể bị khai thác bởi các tài khoản ở mức Contributor trở lên, vì họ đủ quyền để tạo biểu mẫu cần thiết nhằm khai thác thành công lỗ hổng này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.