CVE-2025-1913

总结

WordPress 的 Product Import Export for WooCommerce – Import Export Product CSV Suite 插件在所有版本（含 2.5.0 及更早版本）中，通过对 'form_data' 参数中的不可信输入进行反序列化，存在 PHP 对象注入漏洞。这使得具有管理员级及以上权限的已认证攻击者能够注入 PHP 对象。易受攻击的软件中不存在已知的 POP 链，这意味着除非站点上安装了包含 POP 链的其他插件或主题，否则此漏洞不会产生影响。如果目标系统上安装了包含 POP 链的其他插件或主题，则攻击者可能会根据存在的 POP 链执行删除任意文件、检索敏感数据或执行代码等操作。

• CVE-2025-1913-PoCPoC

  演示CVE-2025-1913的PoC，展示插件不安全的反序列化处理如何在受控环境中导致高影响行为。包含仅用于授权测试的有害负载。严格在隔离实验室和防御性研究中使用。