PT-2025-31978 · WordPress · Asset-Manager

CVE-2012-10026 · Publicado 2025-08-05 · Atualizado 2025-08-07

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Asset-Manager para Wordpress versões 2.0 e anteriores

Descrição O plugin Asset-Manager para Wordpress versão 2.0 e inferiores contém uma vulnerabilidade de upload arbitrário de arquivos não autenticado em upload.php. O endpoint não valida e restringe adequadamente os tipos de arquivos enviados, permitindo que atacantes remotos enviem scripts PHP maliciosos para um diretório temporário previsível. Após o upload, o atacante pode executar o arquivo através de uma requisição HTTP GET direta, resultando em execução remota de código sob o contexto do servidor web.

Recomendações Versões anteriores à 2.0 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2012-10026

Produtos afetados

Asset-Manager

Referências · 9

• https://wordpress.org/plugins/asset-manager · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2012-10026 · Nota de Segurança
• https://exploit-db.com/exploits/18993 · Nota
• https://t.me/cveNotify/131282 · Publicação no Telegram
• https://t.me/CVEtracker/29232 · Publicação no Telegram
• http://web.archive.org/web/20150106144832/http://opensyscom.fr:80/Actualites/wordpress-plugins-asset-manager-shell-upload-vulnerability.html · Nota
• https://exploit-db.com/exploits/23652 · Nota
• https://vulncheck.com/advisories/wordpress-plugin-asset-manager-php-file-upload · Nota
• https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/wp_asset_manager_upload_exec.rb · Nota