PT-2025-47692 · WordPress · Wordpress Url Image Importer

Kenneth Dunn · Publicado 2025-11-21 · Atualizado 2025-11-26 · CVE-2025-12138

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WordPress URL Image Importer até a 1.0.6 inclusive

Descrição O plugin WordPress URL Image Importer está suscetível a upload de arquivos arbitrários devido à validação inadequada do tipo de arquivo. O plugin depende de um cabeçalho HTTP Content-Type controlado pelo usuário para validar uploads de arquivos. A função uimptr import image from url() grava o arquivo no servidor antes de realizar a validação adequada. Isso permite que atacantes autenticados com acesso de nível de Autor ou superior façam upload de arquivos arbitrários para o servidor do site afetado, potencialmente levando à execução remota de código através de arquivos PHP carregados.

Recomendações Atualize o plugin WordPress URL Image Importer para uma versão superior à 1.0.6.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-12138

Produtos afetados

Wordpress Url Image Importer

Referências · 13

• https://twitter.com/cracbot/status/1993635895308951629 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-12138 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/url-image-importer/trunk/url-image-importer.php#L1319 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3395852%40url-image-importer&new=3395852%40url-image-importer&sfp_email=&sfph_mail=#file9 · Nota
• https://plugins.trac.wordpress.org/browser/url-image-importer/trunk/url-image-importer.php#L198 · Nota
• https://plugins.trac.wordpress.org/browser/url-image-importer/trunk/url-image-importer.php#L1358 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/1da18430-1bd0-4f63-9e22-5d26de2be410?source=cve · Nota
• https://twitter.com/CVEnew/status/1991776218484732415 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/url-image-importer/trunk/url-image-importer.php#L1353 · Nota
• https://twitter.com/VulmonFeeds/status/1991824359984341044 · Publicação no Twitter
• https://twitter.com/gothburz/status/1992020594917888419 · Publicação no Twitter
• https://twitter.com/ZeroPathLabs/status/1991790673838645733 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1991834088693485647 · Publicação no Twitter