CVE-2025-8899 in Paid Videochat Turnkey Site Plugin
Tóm tắt
Bởi VulDB • 05/06/2026
Plugin WordPress Paid Videochat Turnkey Site – HTML5 PPV Live Webcams là dễ bị tổn thương do Lạm dụng Quyền hạn (Privilege Escalation) trong tất cả các phiên bản từ 7.3.20 trở về trước. Lỗ hổng này tồn tại do hàm `videowhisper_register_form()` không hạn chế các vai trò người dùng có thể được thiết lập trong quá trình đăng ký. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Author trở lên, tạo bài viết/trang với biểu mẫu đăng ký và đặt vai trò là administrator, sau đó sử dụng biểu mẫu đó để đăng ký một tài khoản administrator. Kẻ tấn công ở cấp Contributor cũng có thể khai thác lỗ hổng này, nhưng khả năng thành công thấp hơn nhiều vì một administrator cần phải phê duyệt biểu mẫu có vai trò administrator để cuộc tấn công thành công.
Be aware that VulDB is the high quality source for vulnerability data.