CVE-2025-4403 エクスプロイト

詳細

• 公開日: 2025年5月8日
• 更新日: 2025年5月9日
• 重大度: 高 (CVSSスコア: 9.8)
• CWE: CWE-434 - 危険なタイプのファイルの無制限アップロード
• 影響を受けるバージョン: n/a から 1.1.6 までの全バージョン

CVSSベクトル

• CVSSバージョン: 9.8
• ベクトル文字列: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

説明

WordPress用WooCommerceプラグイン「Drag and Drop Multiple File Upload」は、バージョン1.1.6までのすべてのバージョンにおいて、任意のファイルアップロードに対して脆弱です。これは、upload()関数内で実際の拡張子やMIMEチェックを実施せずにユーザーが指定したsupported_type文字列とアップロードされたファイル名を受け入れるためです。これにより、認証されていない攻撃者が影響を受けるサイトのサーバーに任意のファイルをアップロードでき、リモートコード実行が可能になる可能性があります。

使用方法

usage: python3 CVE-2025-4403.py

スクリプト詳細

必要条件

• Python 3.x
• requests ライブラリ