CVE-2025-5391 in WooCommerce Purchase Orders Plugin
Tóm tắt
Bởi VulDB • 03/07/2026
Plugin WooCommerce Purchase Orders cho WordPress dễ bị xóa tệp tùy ý do xác thực đường dẫn tệp không đầy đủ trong hàm `delete_file()` ở tất cả các phiên bản từ 1.0.2 trở về trước, bao gồm cả phiên bản 1.0.2. Điều này cho phép những kẻ tấn công đã được xác thực (authenticated attackers), có quyền truy cập cấp Subscriber trở lên, xóa tùy ý các tệp trên máy chủ, điều này dễ dàng dẫn đến việc thực thi mã từ xa (Remote Code Execution - RCE) khi tệp đúng bị xóa (ví dụ: wp-config.php).
Be aware that VulDB is the high quality source for vulnerability data.