CVE-2025-1913

概要

「Product Import Export for WooCommerce – Import Export Product CSV Suite」WordPress プラグインは、2.5.0 までの全バージョンにおいて、'form_data' パラメータからの信頼できない入力のデシリアライゼーションを介して、PHP オブジェクトインジェクションに対して脆弱です。これにより、Administrator レベルのアクセス権以上を持つ認証済み攻撃者が PHP オブジェクトを注入することが可能になります。脆弱なソフトウェアには既知の POP チェーンが存在しないため、サイトに POP チェーンを含む別のプラグインやテーマがインストールされていない限り、この脆弱性は影響を及ぼしません。ターゲットシステムにインストールされた追加のプラグインやテーマを介して POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルの削除、機密データの取得、コードの実行などの操作を実行できる可能性があります。

• CVE-2025-1913-PoCPoC

  CVE-2025-1913を実証するPoCで、プラグインの安全でないunserialize処理が管理された環境で重大な影響を引き起こす可能性があることを示しています。認可されたテスト専用の有害なペイロードが含まれています。隔離されたラボ環境および防御的な研究目的でのみ厳格に使用してください。