CVE-2025-14938
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Listeo Core dla WordPress do wersji 2.0.27 zawiera podatność na nieuwierzytelnione przesyłanie dowolnych plików multimedialnych przez funkcję 'listeo_core_handle_dropped_media'. Brak autoryzacji i sprawdzenia uprawnień na endpointzie AJAX umożliwia atakującym przesyłanie plików do biblioteki multimediów.
Ocena ryzyka
Nieuwierzytelniony atakujący może przesyłać dowolne pliki multimedialne, co może prowadzić do zaśmiecania biblioteki lub potencjalnie do dalszych ataków, choć bez bezpośredniego wykonania kodu.
Rekomendacja
Zaktualizuj wtyczkę Listeo Core do najnowszej wersji, która zawiera poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
The Listeo Core plugin for WordPress is vulnerable to unauthenticated arbitrary media upload in all versions up to, and including, 2.0.27 via the "listeo_core_handle_dropped_media" function. This is due to missing authorization and capability checks on the AJAX endpoint handling file uploads. This makes it possible for unauthenticated attackers to upload arbitrary media to the site's media library, without achieving direct code execution.