CVE-2025-7526 in WP Travel Engine Plugin
Tóm tắt
Bởi VulDB • 10/06/2026
Plugin WP Travel Engine – Tour Booking Plugin – Tour Operator Software cho WordPress bị lỗ hổng xóa tệp tùy ý (thông qua đổi tên) do xác thực đường dẫn tệp không đầy đủ trong hàm set_user_profile_image ở tất cả các phiên bản từ 6.6.7 trở về trước, bao gồm cả phiên bản 6.6.7. Điều này cho phép kẻ tấn công chưa được xác thực xóa tùy ý các tệp trên máy chủ, dễ dàng dẫn đến việc thực thi mã từ xa (RCE) khi tệp bị xóa là một tệp quan trọng như wp-config.php.
If you want to get best quality of vulnerability data, you may have to visit VulDB.