Informazioni sul CVE-2025-1028
Contact Manager <= 8.6.4 – Unauthenticated Arbitrary Double File Extension Upload
CWE ID: CWE-434
Base Score (CVSS): N/A
CVE: CVE-2025-1028
Descrizione: Il plugin di contatto per WordPress è vulnerabile alle cariche di file arbitrarie a causa della mancata validazione del tipo di file nella funzionalità di caricamento dei moduli di contatto in tutte le versioni fino a e inclusi, 8.6.4. Ciò consente agli attaccanti non autenticati di caricare file arbitrari sul server del sito compromesso, il che potrebbe rendere l’esecuzione di codice remoto possibile in configurazioni specifiche in cui la prima estensione viene elaborata prima della fase finale. Questa vulnerabilità richiede anche di sfruttare in modo riuscito una condizione di race per sfruttare.
Vettore di attacco CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Network, Privilegi: None, Interazione utente: None, Confidenzialità: High, Integrità: High, Disponibilità: High.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | N | Network | L’attacco può essere eseguito da remoto attraverso la rete. |
| Attack Complexity (AC) | H | High | L’attacco richiede condizioni particolari o avanzate. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | H | High | Grave impatto sulla riservatezza. |
| Integrity Impact (I) | H | High | Grave impatto sull’integrità. |
| Availability Impact (A) | H | High | Rende il sistema inutilizzabile. |
Riferimenti esterni
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b6f51a8e-4a59-4b64-b0c6-2ce3933a1df5?source=cve
- https://plugins.trac.wordpress.org/changeset?old_path=/contact-manager/tags/8.6.4&new_path=/contact-manager/tags/8.6.5&sfp_email=&sfph_mail=
Prodotti interessati
- kleor – Contact Manager
Relazioni con altri prodotti
Produttore:kleor
Prodotto: Contact Manager
Anno: 2025
CWE: CWE-434
CVSS: 0.0