CVE-2025-11170
重大公開済み
WP移行専用プラグイン for CPI <= 1.0.2 - 認証なしの任意ファイルアップロード
- 公開済み
- 2025/11/11
- 更新済み
- 2026/04/08
- CNA の割り当て
- Wordfence
- 観察された証拠
- 2026/08/15
プライマリ CVSS
9.8/ 10重大
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H0.8%
低 · 今後 30 日間
- パーセンタイル
- 54.0%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
The WP移行専用プラグイン for CPI plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the Cpiwm_Import_Controller::import function in all versions up to, and including, 1.0.2. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.
ソース
1- CVE-2025-11170エクスプロイト
WP移行専用プラグイン for CPI <= 1.0.2 - Unauthenticated Arbitrary File Upload
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。