CVE-2025-10162
OrderConvo <= 15.1 — неаутентифицированное чтение произвольных файлов
- Опубликовано
- 7 окт. 2025 г.
- Обновлено
- 12 окт. 2026 г.
- Назначение CNA
- WPScan
- Наблюдены доказательства
- 1 июн. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 91,4 %
- Дата модели
- 24 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Плагин WordPress Admin and Customer Messages After Order for WooCommerce: OrderConvo до версии 15.1 включительно не проверяет путь к файлам, предназначенным для скачивания, что может позволить неаутентифицированным пользователям (до версии 15.0) и любому аутентифицированному пользователю, например подписчику (версии с 15.0 по 15.1), читать произвольные файлы на сервере посредством атаки обхода пути; исправление, выпущенное в версии 14, было неполным, и исправленная версия недоступна.
Источники
http/cves/2025/CVE-2025-10162.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2025-10162-ExploitЭксплойт
Эксплойт для CVE-2025-10162, уязвимости удаленного выполнения кода. Доставляет целевой пэйлоад для тестирования на проникновение и проверки уязвимостей.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.