CVE-2025-15700

WysokieCVSS 8.8

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress AWP Classifieds w wersji przed 4.4.9 nie waliduje typu plików wyodrębnianych z przesłanego archiwum ZIP podczas funkcji importu ogłoszeń. Pozwala to użytkownikom posiadającym uprawnienia zarządzania wtyczką AWP Classifieds na przesłanie dowolnych plików PHP do publicznie dostępnego, współdzielonego w sieci katalogu i osiągnięcie zdalnego wykonania kodu.

Ocena ryzyka

Atakujący z uprawnieniami zarządzania może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu. Stanowi to krytyczne zagrożenie dla poufności, integralności i dostępności.

Rekomendacja

Zaktualizować wtyczkę AWP Classifieds do wersji 4.4.9 lub nowszej. Ograniczyć uprawnienia zarządzania i zweryfikować katalogi publiczne pod kątem niechcianych plików PHP.

Inne podatności w AWP Classifieds WordPress plugin

CVE-2026-96904Średnie
Wtyczka AWP Classifieds dla WordPressa przed wersją 4.4.9 nie weryfikuje autoryzacji żądania wyświetlenia ogłoszenia przy odwołaniu do transakcji płatności, co pozwala nieuwierzytelnionym atakującym ominąć kontrolę własności i odczytać prywatny e-mail kontaktowy w dowolnym ogłoszeniu.

Oryginalny opis (angielski, źródło NVD)

The AWP Classifieds WordPress plugin before 4.4.9 does not validate the type of files extracted from an uploaded ZIP archive during its listing-import feature, allowing users with the AWP Classifieds WordPress plugin before 4.4.9's management capability to upload arbitrary PHP files to a publicly accessible, network-shared directory and achieve remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS