CVE-2025-4389 एक्सप्लॉइट

विवरण

• प्रकाशित: 16 मई, 2025
• अद्यतन: 17 मई, 2025
• गंभीरता: गंभीर (CVSS स्कोर: 9.8)
• CWE: CWE-434: CWE-434 खतरनाक प्रकार की फ़ाइल का अप्रतिबंधित अपलोड
• प्रभावित संस्करण: n/a से 2.6.8.1 तक के सभी संस्करण
• शोधकर्ता: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/friderika-baranyai

CVSS वेक्टर

• CVSS संस्करण: 9.8
• वेक्टर स्ट्रिंग: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

विवरण

WordPress के लिए Crawlomatic Multipage Scraper Post Generator प्लगइन, 2.6.8.1 तक (सम्मिलित) सभी संस्करणों में crawlomatic_generate_featured_image() फ़ंक्शन में फ़ाइल प्रकार सत्यापन की कमी के कारण मनमानी फ़ाइल अपलोड के लिए असुरक्षित है। यह अप्रमाणित हमलावरों के लिए प्रभावित साइट के सर्वर पर मनमानी फ़ाइलें अपलोड करना संभव बनाता है, जिससे रिमोट कोड निष्पादन संभव हो सकता है।

उपयोग

usage: python3 CVE-2025-4389.py