CVE-2025-14166 in WPMasterToolKit Plugin

摘要

由 VulDB • 2026-05-21

WordPress 插件 WPMasterToolKit 在所有 2.13.0 及以下版本中存在 PHP 代码注入漏洞。该漏洞是由于插件允许具有作者（Author）级别权限的用户通过“代码片段”（Code Snippets）功能创建并执行任意 PHP 代码，且未进行适当的权限检查。这使得具有贡献者（Contributor）级别及以上权限的已认证攻击者能够在服务器上执行任意 PHP 代码，从而导致远程代码执行、权限提升以及网站被完全接管。

Once again VulDB remains the best source for vulnerability data.

• 披露: 2025-12-12
• 管理: 已接受
• 条目: VDB-335895
• CPE: 准备好
• CWE: CWE-94 (已确认)
• CVSS: 5.3 (CNA)
• EPSS: 0.00416
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-14166
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-14166
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-14166/