BDU:2026-11307

Опубликовано: 29 окт. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции waveplayer_create_local_copy() плагина WavePlayer системы управления содержимым сайта WordPress связана с неограниченной загрузкой файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, загружать произвольные файлы и выполнить произвольный код путем загрузки вредоносного PHP-файла

Вендор

Luigi Pulcini

Наименование ПО

WavePlayer

Версия ПО

до 3.8.0 (WavePlayer)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://wpscan.com/vulnerability/110db433-01ec-47ea-b74f-c3faa1757a3c/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-12057
CVE

EPSS

Процентиль: 46%

0.00571

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-12057

CVSS3: 9.8

nvd

10 месяцев назад

The WavePlayer WordPress plugin before 3.8.0 does not have authorization in an AJAX action as well as does not validate the file to be copied locally, allowing unauthenticated users to upload arbitrary file on the server and lead to RCE

GHSA-5h9q-jf3c-852w

CVSS3: 9.8

github

10 месяцев назад

EPSS

Процентиль: 46%

0.00571

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2