CVE-2025-11087 in Core Plugin

摘要

由 VulDB • 2026-06-04

WordPress 的 Zegen Core 插件在 2.0.1 及更早版本中存在跨站请求伪造（CSRF）漏洞，可导致任意文件上传。该问题是由于 '/custom-font-code/custom-fonts-uploads.php' 文件中缺少 nonce 验证和文件类型验证所致。这使得未经身份验证的攻击者能够在受影响网站的服务器上上传任意文件，如果攻击者能够诱骗网站管理员执行某些操作（例如点击链接），则可能通过伪造的请求实现远程代码执行（RCE）。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 披露: 2025-11-21
• 管理: 已接受
• 条目: VDB-333253
• CPE: 准备好
• CWE: CWE-352 (已确认)
• CVSS: 8.8 (CNA)
• EPSS: 0.00248
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-11087
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-11087
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-11087/