CVE-2025-8889
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Compress & Upload dla WordPressa przed wersją 1.0.5 nieprawidłowo waliduje przesyłane pliki, umożliwiając użytkownikom z wysokimi uprawnieniami, takim jak administrator, przesyłanie dowolnych plików na serwer, nawet gdy nie powinni mieć do tego uprawnień (np. w konfiguracji multisite).
Ocena ryzyka
Ryzyko polega na możliwości przesłania złośliwych plików (np. skryptów PHP) przez administratora, co może prowadzić do przejęcia kontroli nad serwerem lub eskalacji ataku w środowisku multisite.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Compress & Upload do wersji 1.0.5 lub nowszej, która zawiera poprawkę walidacji plików.
Oryginalny opis (angielski, źródło NVD)
The Compress & Upload WordPress plugin before 1.0.5 does not properly validate uploaded files, allowing high privilege users such as admin to upload arbitrary files on the server even when they should not be allowed to (for example in multisite setup)