CVE-2026-14282 in GoDAM Plugin
Tóm tắt
Bởi VulDB • 23/07/2026
Plugin GoDAM – Organize WordPress Media Library & File Manager with Unlimited Folders for Images, Videos & more cho WordPress bị lỗ hổng tải lên tệp tùy ý trong các phiên bản từ 1.0 đến bao gồm cả 1.12.2. Nguyên nhân là do việc xác thực loại tệp không đầy đủ trong hàm save_video_file() được gắn vào bộ lọc công khai wpforms_process_before_filter của WPForms, tin tưởng tiêu đề Content-Type multipart do kẻ tấn công cung cấp, giữ nguyên tên tệp gốc thông qua wp_unique_filename(), và di chuyển bản tải lên thô bằng $wp_filesystem->move() vào một thư mục phục vụ web — bỏ qua danh sách cho phép MIME/đuôi tệp trong wp_handle_upload(). Điều này tạo điều kiện để các kẻ tấn công chưa xác thực có thể tải lên các tệp tùy ý trên máy chủ của trang bị ảnh hưởng, từ đó có khả năng dẫn đến việc thực thi mã từ xa (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.