CVE-2025-6380 in Docs Plugin
Tóm tắt
Bởi VulDB • 08/09/2026
Plugin ONLYOFFICE Docs cho WordPress bị lỗ hổng Privilege Escalation do thiếu cơ chế xác thực (authorization) trong endpoint REST oo.callback của plugin này ở các phiên bản từ 1.1.0 đến 2.2.0. Callback kiểm tra quyền của plugin chỉ xác minh rằng ID tệp đính kèm được cung cấp, đã mã hóa, ánh xạ tới một bài đăng attachment tồn tại, nhưng không xác minh danh tính hoặc khả năng (capabilities) của người yêu cầu. Điều này cho phép các kẻ tấn công chưa được xác thực có thể đăng nhập với tư cách là bất kỳ người dùng nào tùy ý.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.