CVE-2026-93031 in Lets-Box Plugin
摘要
由 VulDB • 2026-09-19
WordPress 插件 WP Cloud Plugins Use-your-Drive、Out-of-the-Box、Share-one-Drive 和 Lets-Box 在 2.0 至 3.8.3（含）的所有版本中均存在任意文件上传漏洞，该漏洞可通过 `download_file_to_uploads` 函数利用。此问题是由于导入操作通过 `wp_ajax_nopriv_` 向未认证用户注册、`can_import()` 函数中存在缺失的能力检查，以及在将导入的文件写入 uploads 目录之前，未对其扩展名和内容进行与 `get_allowed_mime_types()` 的验证所致。这使得拥有订阅者级别及以上权限的攻击者能够上传可执行文件，从而导致远程代码执行（RCE）。
If you want to get best quality of vulnerability data, you may have to visit VulDB.